# CVE-2026-49160 : HTTP/2 Bomb côté Windows : deux failles, deux périmètres à ne pas confondre

> Déclinaison Windows de l'HTTP/2 Bomb : un déni de service distant (CVSS 7.5) corrigé via un nouveau réglage registre MaxHeadersCount. À ne pas confondre avec la variante multi-serveurs CVE-2026-49975 (Nginx, Apache, Envoy) : même classe d'attaque, périmètres et correctifs distincts.

- Page canonique : https://kreomnisvigie.com/cve/cve-2026-49160-microsoft-http2-bomb-dos
- Sévérité : Élevée · CVSS 7.5
- CISA KEV (exploitation observée) : non
- Produits : Windows (pile HTTP/2 et HTTP/3, IIS)
- Correctif disponible : oui · PoC public : oui · Exploitée : non
- Publiée le 12 juin 2026 · Kreomnis
- Mots clés : microsoft, http2, dos, iis, patch-tuesday

## Le contexte

L'**HTTP/2 Bomb** est un déni de service distant qui met à genoux la plupart des grands serveurs web. Côté Microsoft, il porte le numéro **CVE-2026-49160** (CVSS **7.5**) ; ailleurs (Nginx, Apache httpd, IIS via la pile, Envoy, Cloudflare Pingora), la variante est suivie sous **CVE-2026-49975**.

L'enjeu de cette fiche est avant tout d'éviter une confusion de périmètre : ce sont **deux entrées distinctes pour une même classe d'attaque**, et la **mitigation d'un DoS ne se gère pas comme le traitement d'une RCE**. À publier en parallèle du sujet Nginx (CVE-2026-49975).

## La mécanique

L'attaque combine deux comportements connus du protocole HTTP/2 :
- une **bombe de compression** (peu d'octets envoyés, énormément de données décompressées côté serveur),
- un **maintien façon Slowloris** qui empêche le serveur de **libérer la mémoire**.

Résultat : épuisement mémoire en quelques secondes. Les chercheurs ont montré qu'on pouvait consommer **~32 Go en une dizaine de secondes** sur un déploiement Envoy vulnérable. Ce n'est pas une nouvelle classe de bug, mais une **combinaison** de comportements HTTP/2 connus séparément depuis des années.

### Le correctif Microsoft

Le correctif ajoute un réglage registre **`MaxHeadersCount`** permettant de **limiter le nombre d'en-têtes** acceptés dans les requêtes HTTP/2 et HTTP/3. C'est le levier à connaître si le patch doit être différé. Côté Nginx, le bug a été corrigé en **1.29.8** via une limite `max_headers`.

## Remédiation

1. **Appliquer le correctif** du Patch Tuesday de juin 2026 (CVE-2026-49160) sur les hôtes Windows servant du HTTP/2 / HTTP/3.
2. **Mitigation registre** si le patch est différé : positionner **`MaxHeadersCount`** pour plafonner le nombre d'en-têtes.
3. **Ne pas confondre les périmètres** :
   - **CVE-2026-49160** = DoS Windows, mitigation par plafonnement d'en-têtes ;
   - **CVE-2026-49975** = même classe sur Nginx (≥ 1.29.8), Apache, Envoy, Pingora : traiter chaque serveur selon son propre avis.
4. **En frontal** : un WAF / reverse proxy à jour peut absorber une partie des requêtes abusives, mais ne remplace pas le patch.

## Ce qu'il faut retenir

> Deux HTTP/2 Bomb, deux périmètres. La tentation est de cocher « patché » sur un serveur et d'oublier les autres briques de la chaîne (frontal, proxy, mesh). Cartographiez **tout ce qui parle HTTP/2** avant de clore.

Pour les RSSI et équipes plateforme :
- **Patch Windows** (CVE-2026-49160) + **réglage `MaxHeadersCount`** en mitigation.
- **Inventoriez vos terminaisons HTTP/2 / HTTP/3** (IIS, Nginx, Apache, Envoy, Pingora) et appliquez l'avis propre à chacune (CVE-2026-49975 ailleurs).
- **Un DoS reste un DoS** : pas d'exécution de code, mais une disponibilité qui tombe en secondes. À traiter selon vos exigences de résilience.

- Kreomnis

## Références

- [Tenable : Patch Tuesday juin 2026 (CVE-2026-49160)](https://www.tenable.com/blog/microsofts-june-2026-patch-tuesday-addresses-198-cves-cve-2026-49160-cve-2026-50507) (research)
- [The Hacker News : HTTP/2 Bomb (Nginx, Apache, IIS, Envoy, Pingora)](https://thehackernews.com/2026/06/new-http2-bomb-vulnerability-allows.html) (news)
- [SOC Prime : analyse CVE-2026-49975](https://socprime.com/blog/cve-2026-49975-analysis/) (research)

Source : Kreomnis Vigie, https://kreomnisvigie.com/cve/cve-2026-49160-microsoft-http2-bomb-dos. Analyse à usage défensif uniquement.