HTTP/2-Bombe – CVE-2026-49975 · Vollständige Offenlegung · 8. Juni 2026

Eine kürzlich bekannt gewordene Denial-of-Service-Schwachstelle, bekannt als HTTP/2-Bombe (CVE-2026-49975), betrifft zahlreiche Webserver-Implementierungen.

CVE-2026-49975, auch bekannt als HTTP/2-Bombe, ist eine Remote-Denial-of-Service-Schwachstelle, die die meisten gängigen Webserver, darunter nginx, Apache httpd, Microsoft IIS, Envoy und Cloudflare Pingora, angreifen kann.

Die Schwachstelle liegt in der Standard-HTTP/2-Konfiguration der jeweiligen Server. Dadurch kann ein Angreifer aus der Ferne übermäßig viele Serverressourcen beanspruchen, wenn HTTP/2 aktiviert ist, was potenziell zu Leistungseinbußen oder vorübergehender Nichtverfügbarkeit führen kann.

Nach Bekanntwerden der Schwachstelle haben wir einen Sicherheits-Hotfix zum Schutz der Kundeninstallationen veröffentlicht. Dieser Beitrag bietet den vollständigen technischen Hintergrund und eine detaillierte Beschreibung unserer Reaktion darauf.

Was ist die HTTP/2-Bombe?

Der Angriff nutzt zwei Funktionen des HTTP/2-Protokolls – die HPACK-Header-Komprimierung und Flow-Control-Windows –, um den Serverspeicher über eine einzige Verbindung und ohne Authentifizierung zu erschöpfen.

Ein einziges übertragenes Byte kann Tausende von Bytes auf dem Server belegen, die durch regelmäßige Zero-Window-Updates des Angreifers unbegrenzt belegt bleiben. Ein einzelner Rechner mit einer Standard-Internetverbindung kann einen anfälligen Server innerhalb von Sekunden unzugänglich machen.

nginx hat das Problem in Version 1.29.8 durch die Einführung eines Limits für `max_headers` behoben. Die Korrektur wurde im April 2025 veröffentlicht, jedoch ohne formale CVE-Zuweisung, was die Aufnahme in die Sicherheits-Tracker verzögerte.

Unser Reaktionszeitplan

Datum / Zeit (UTC) Event
Juni 2, 2026 — 19:36C CVE-2026-49975 (HTTP/2-Bombe) veröffentlicht
Juni 3, 2026 — 06:52 ET Ein vollständiger technischer Bericht, der von Calif veröffentlicht wurde und die Exploit-Kette detailliert beschreibt, ist verfügbar.
Juni 3, 2026 — 14:30 3CX sendet E-Mails an die Debian-Sicherheitsverantwortlichen und bittet um einen Patch-Zeitplan.
Juni 4, 2026 3CX-Entscheidung: nginx wird direkt in den 3CX-Build- und Update-Prozess eingebettet, wodurch die Debian-Paketabhängigkeit umgangen wird.
Juni 5, 2026 Sicherheits-Hotfix für Windows und Linux veröffentlicht. Gehostete Instanzen wurden zentral aktualisiert.
Juni 8, 2026 Debian hat einen nginx-Hotfix in die Debian-Repositories veröffentlicht.

Warum wir nginx eingebettet haben

3CX-Linux-Bereitstellungen stützten sich in der Vergangenheit auf die Debian-Paketversion von Nginx. Als diese Schwachstelle bekannt wurde, war die gepatchte Version (nginx 1.29.8) nicht in den Debian Bookworm- oder Trixie-Repositorys verfügbar.

Anstatt uns auf einen externen Paketierungszeitplan zu verlassen, der außerhalb unserer Kontrolle liegt, haben wir uns dafür entschieden, Nginx direkt in den 3CX-Installations- und Aktualisierungsprozess einzubetten. Dies gibt uns die volle Kontrolle über die mit 3CX gelieferte Nginx-Version, ermöglicht es uns, auf zukünftige Schwachstellen zu reagieren, ohne auf Distributionsbetreuer warten zu müssen, und stellt sicher, dass alle unterstützten Plattformen gleichzeitig Korrekturen erhalten.

Wenn Debian in Zukunft ein gepatchtes Nginx-Paket veröffentlicht, werden wir prüfen, ob wir zum Distributionspaket-Ansatz zurückkehren oder mit dem eingebetteten Modell fortfahren.

UPDATE: Debian scheint ein Update auszuliefern, das diese Schwachstelle behebt. An dieser Stelle bleiben wir jedoch bei unserer angepassten Version von NGINX. Diese Version wurde weiter abgespeckt und bei künftigen Schwachstellen können wir umgehend reagieren.

Aktualisierungen des Sicherheitsupdate-Mechanismus

Mit Update 10 planen wir, detailliertere Sicherheitsupdate-Funktionen bereitzustellen. Weitere Informationen folgen.

Wer ist betroffen und welche Maßnahmen sind erforderlich?

Sofortiges Handeln ist erforderlich:

  • Wenn Ihr System lokal oder in der Cloud mit öffentlich zugänglichem nginx aus dem Internet bereitgestellt wird, besteht ein potenzielles Sicherheitsrisiko. Sie sollten den Hotfix installieren.

Kein sofortiges Handeln erforderlich:

  • Wenn Sie Ihr Hosting bei 3CX nutzen, ist kein Eingreifen Ihrerseits erforderlich. Die Korrektur wurde zentral implementiert, bevor dieser Beitrag veröffentlicht wurde.
  • Bei On-Premise- oder Cloud-Lösungen hinter einer Firewall und wenn nginx nicht öffentlich zugänglich ist, ist kein sofortiges Handeln erforderlich. Führen Sie das Update während Ihres nächsten Wartungsfensters durch.

Ziehen Sie einen 3CX-Partner oder 3CX Hosted in Betracht.

Das Internet ist voller Sicherheitsbedrohungen, die ständige Überwachung und regelmäßige Updates erfordern. Wenn Sie diese nicht gewährleisten können, sollten Sie Ihre Strategie überdenken und die Zusammenarbeit mit einem 3CX-Partner bzw. den Wechsel zu 3CX Hosted in Betracht ziehen.

Wir empfehlen Ihnen, mindestens die 3CX-Neuigkeiten auf unserem Blog zu abonnieren, wo wir regelmäßig wichtige Updates veröffentlichen. Wichtige E-Mails zu System, Sicherheit und Lizenzen werden automatisch an die mit Ihrer 3CX-Installation verknüpfte E-Mail-Adresse gesendet. Diese E-Mails sind unerlässlich und können nicht abbestellt werden. Um sicherzustellen, dass Sie diese E-Mails erhalten, überprüfen Sie bitte, ob E-Mails von 3CX von Ihrem Mailserver, Spamfiltern oder Ihrer Sicherheitssoftware blockiert werden und nicht in Ihrem Spam- oder Junk-Ordner landen.

Beteiligen Sie sich an der V20-Diskussion in unseren entsprechenden Partner– oder Kundenforen. Folgen Sie uns auf X und LinkedIn, um über Neuigkeiten und neue Funktionen auf dem Laufenden zu bleiben.