Codex identifica vulnerabilidade crítica de negação de serviço em protocolo HTTP/2

A 'HTTP/2 Bomb' (CVE-2026-49975) não é uma falha nova no código, mas um encadeamento letal de duas técnicas antigas, bomba HPACK e travamento de janela de fluxo, que passaram despercebidas por anos porque eram consideradas inofensivas isoladamente. O Codex da OpenAI não descobriu um bug, mas percebeu que a RFC 7541 ignorou o risco de 'pinning' de memória: cada referência indexada de 1 byte em HPACK pode forçar até 4.000 bytes de alocação no Apache ou 5.700 no Envoy, e o travamento da janela impede sua liberação. Isso transforma um ataque de baixa largura de banda em uma exaustão de RAM em segundos, 32 GB em 20 segundos, sem autenticação, sem engenharia social, só com HTTP/2 puro.

O mais preocupante é que essa classe de falha se repetiu em cinco implementações distintas (nginx, httpd, IIS, Envoy, Pingora), todas com configurações padrão. Isso mostra que o problema está na interpretação da RFC, não no código individual. A correção veio só após a divulgação: nginx 1.29.8 introduziu max_headers, o Apache atualizou mod_http2 v2.0.41 para contar cookies contra LimitRequestFields, e o Envoy lançou patch em 3 de junho. Já o IIS ainda não tinha atualização confirmada até 4 de junho, data da divulgação.

Em maio, a CEVIU já havia mostrado como IA open-weight detectava falhas antigas, como a RCE do FreeBSD de 17 anos, mas aquela era uma detecção *retrô*. Agora, o Codex não apenas identificou uma vulnerabilidade antiga (HPACK + controle de fluxo, conhecidos desde 2015, 2017), mas *encadeou* as duas técnicas de forma operacional, simulando o comportamento real do atacante e validando o impacto em múltiplas stacks. Antes, IA encontrava bugs isolados; agora, ela constrói cadeias de exploração complexas, com base em especificações mal interpretadas, o que muda o papel da IA de 'scanner' para 'pesquisador de protocolos'.

Essa falha afeta diretamente a infraestrutura crítica brasileira: mais de 120 mil sites .br usam nginx ou Apache com HTTP/2 habilitado por padrão, segundo dados do W3Techs atualizados em maio de 2026. Bancos, órgãos públicos e provedores de nuvem nacional dependem desses servidores. Como a exploração não exige autenticação nem ferramentas especializadas, basta um script Python com biblioteca httpx , , o risco de onda de ataques DDoS diretos é imediato. E, diferentemente de ataques clássicos, esse não sobrecarrega rede: ele derruba servidores pela memória, contornando firewalls e mitigadores tradicionais de tráfego.