Une faille dans le traitement de certaines requêtes HTTP/2 peut faire consommer des ressources excessives à NginX. Ubuntu a publié des correctifs pour ses paquets, y compris pour des versions amont antérieures à 1.29.8. Ce retour d’expérience sur Apollo explique comment vérifier le paquet installé et présente, en option, la migration vers le dépôt officiel NginX mainline.
Le symptôme : un serveur qui tombe sans raison apparente
En ce début de semaine, skyminds.net était indisponible au petit matin, deux jours de suite. C’est exceptionnellement rare : la configuration du serveur dédié OVH Apollo est stable et n’est jamais modifiée sur un coup de tête.
Après quelques heures à éplucher les logs et le statut des services, le constat était clair : des requêtes épuisaient les workers NginX à une vitesse anormale, sans pic de trafic visible côté Cloudflare ni signe d’attaque volumétrique classique. Le coupable n’était donc pas une simple charge excessive, mais un mécanisme bien plus sournois.
La cause : la faille HTTP/2 Bomb
L’avis de sécurité Ubuntu décrit un défaut de traitement de certains en-têtes de cookies dans l’implémentation HTTP/2 de NginX. Une requête réseau spécialement conçue peut entraîner une consommation excessive de ressources et un déni de service. Vérifiez le statut du paquet correspondant à votre distribution plutôt que de déduire l’exposition du seul numéro de version amont.
Ubuntu référence CVE-2026-49975 pour ses paquets NginX et indique que le correctif amont est arrivé avec NginX 1.29.8 et la directive max_headers. Le même identifiant apparaît aussi dans les avis Apache ; il ne faut donc pas le présenter comme le nom générique d’une attaque touchant tous les serveurs HTTP/2.
