Sicherheitsforscher haben mit „HTTP/2 Bomb“ eine neue Denial-of-Service-Attacke auf Basis von HTTP/2 entdeckt, die Server in Sekunden lahmlegen kann. Sie entsteht durch die Kombination zweier seit Jahren bekannter Angriffstechniken. Nach Angaben der Forscher spielte dabei auch OpenAIs KI-Agent Codex eine wichtige Rolle.

Zusammen noch gefährlicher

Das kalifornische Sicherheitsunternehmen Calif berichtet über eine neue DoS-Angriffsmethode, die auf Standardkonfigurationen von HTTP/2 bei mehreren weit verbreiteten Webservern abzielt. Betroffen sein sollen unter anderem Nginx, Apache HTTP Server, Microsoft IIS, Envoy sowie Cloudflares Pingora. Darüber berichtet The Register.

Bei dem von den Forschern als „HTTP/2 Bomb“ bezeichneten Angriff werden zwei seit mehr als zehn Jahren bekannte Schwachstellen beziehungsweise Angriffstechniken miteinander kombiniert. Dazu zählt die sogenannte HPACK Compression Bomb (CVE-2016-6581), bei der die Header-Kompression von HTTP/2 ausgenutzt wird, um durch zahlreiche kleine Anfragen einen hohen Speicherverbrauch auf dem Server zu verursachen. Hinzu kommen Slowloris-ähnliche Verbindungsangriffe, darunter CVE-2016-8740 und CVE-2016-1546, bei denen eine große Zahl von Verbindungen über längere Zeit offen gehalten wird. Durch die Kombination beider Methoden soll der Speicherbedarf massiv steigen, sodass ein Server bereits nach wenigen Sekunden nicht mehr erreichbar ist.

Besonders kritisch sei laut den Forschern, dass bereits ein einzelner Angreifer mit einer gewöhnlichen 100-Mbit-Verbindung einen verwundbaren Server innerhalb kurzer Zeit lahmlegen könne. Bei Apache httpd und Envoy soll ein einzelner Client innerhalb von rund 20 Sekunden bis zu 32 Gigabyte Arbeitsspeicher belegen können. Nach Schätzungen der Experten könnten bis zu 880.000 Websites betroffen sein.

Erst die KI erkennt die „Wirksamkeit“

Eine eher unrühmliche Rolle kommt laut dem Bericht OpenAIs Coding-Assistent Codex zu, den die Forscher als wesentlichen Faktor bei der Entstehung des Angriffs betrachten. Demnach analysierte das System die beiden seit Langem bekannten Code-Basen und erkannte, dass sich die jeweiligen Schwachstellen gegenseitig ergänzen. Auf Basis dieser Erkenntnisse entwickelte der KI-Agent schließlich den kombinierten Angriff. „Diese Kombination ist offensichtlich, sobald man sie sieht, und doch hat, soweit wir wissen, kein Mensch sie gegen diese Server zusammengestellt“, konstatiert Entdecker Quang Luong.

Patches bereits verteilt

Nginx hat nach Angaben der Forscher bereits im April mit Version 1.29.8 entsprechende Korrekturen veröffentlicht. Auch Apache stellte mit mod_http2 v2.0.41 einen Fix bereit. Für Envoy wurden ebenfalls Patches veröffentlicht, deren Wirksamkeit laut Calif allerdings noch überprüft werden müsse. Microsoft untersucht nach eigenen Angaben mögliche Schutzmaßnahmen für IIS.

Cloudflare sieht keine Gefährdung

Cloudflare widerspricht hingegen der Einschätzung, dass Pingora von dem Angriff betroffen sei. Nach Angaben des Unternehmens schützen die vorhandenen DDoS-Abwehrmechanismen Kunden bereits vor der beschriebenen Angriffsmethode. Dennoch empfehlen die Sicherheitsforscher als vorläufige Schutzmaßnahmen für Microsoft IIS und Pingora, HTTP/2 gegebenenfalls zu deaktivieren oder die Zahl zulässiger HTTP-Header pro Anfrage zu begrenzen.

Die Speicherhersteller fahren in diesen Zeiten Umsatzrekorde ein. Allein im ersten Quartal 2026 soll die NAND-Branche 46 Milliarden US-Dollar eingenommen haben, das ist 3,5 Mal mehr als ein Jahr zuvor, berichtet Counterpoint. Bei den Marktanteilen hat der chinesische Neuling YMTC inzwischen gewaltig aufgeholt.

Im ersten Quartal mehr Umsatz als im Jahr 2023

Alle NAND-Flash-Hersteller zusammen sollen im ersten Quartal 2026 einen Umsatz von 46 Milliarden US-Dollar generiert haben. Das ist noch einmal doppelt so viel wie im vierten Quartal 2025 und 3,5 Mal so viel wie im gleichen Vorjahreszeitraum. Counterpoint rechnet vor, dass der NAND-Umsatz im Q1 2026 damit sogar den Umsatz des Gesamtjahres 2023 überboten hat.

Die Zahlen überraschen allerdings nicht angesichts der Preise für NAND-Flash, die sich seit dem Herbst massiv erhöht haben. Die Ursache ist die globale Speicherkrise. Im Zuge des Aufbaus und Ausbaus immer größerer Rechenzentren, primär für den Einsatz von KI-Anwendungen, ist der Bedarf an Speicherchips enorm gestiegen. Das sorgt für eine Verknappung im Markt und starke Preiserhöhungen. Entsprechend haben auch die Preise für Endprodukte wie SSDs und Speicherriegel erheblich angezogen. Prognosen zu einem „historischen Speicherengpass“ haben sich inzwischen bewahrheitet.

• HDD, SSD und RAM teurer: Der „historische“ Speicher­engpass ist da

Durch den KI-Boom verschiebt sich das NAND-Geschäft zudem mehr und mehr in Richtung der Enterprise-SSDs für Server. Diese sollen im ersten Quartal bereits 43 Prozent der Verkäufe ausgemacht haben, bis zum Ende des Jahres sollen ihr Anteil auf 60 Prozent steigen.

YMTC holt weiter auf

Erst seit einigen Jahren mischt der chinesische Hersteller YMTC im globalen NAND-Geschäft mit. Die Knappheit bei den Herstellern aus Südkorea und den USA sorgt dafür, dass immer mehr Kunden auf den NAND aus China zurückgreifen. Das wiederum führt zu steigenden Marktanteilen, sodass YMTC im ersten Quartal 2026 bereits 13 Prozent erreicht haben soll. Das sind ganze 5 Prozentpunkte mehr als noch vor einem Jahr. Außerdem werden damit die etablierten Größen Micron und Sandisk eingeholt.

Kioxia liegt mit 14 Prozent schon in Schlagweite, sodass YMTC schon bald zur Nummer Drei aufsteigen könnte. Der geplante Börsengang von YMTC könnte nämlich für frisches Geld für den weiteren Ausbau der Produktion sorgen. Allerdings will auch Kioxia seine NAND-Produktion in den nächsten Jahren massiv ausbauen.

Während Samsung mit 29 Prozent Marktanteil erneut seine Position als größter NAND-Flash-Hersteller verteidigt hat, liegt SK Hynix (inklusive Solidigm) mit 18 Prozent auf Rang zwei.

Zur Computex 2026 gibt es bei Lian Li zahlreiche neue Gehäuse zu sehen. Darunter sind überarbeitete Versionen existierender Modelle, die Fortsetzung der V-Serie mit „Pfeiler-Display“ und das kompakte, in Kooperation mit Dan Cases entwickelte B4-mATX.

Das B4-mATX wird kompakt & flexibel

Das B4 sieht auf den ersten Blick wie ein typisches Micro-ATX-Kompaktgehäuse aus. Es kann allerdings entweder als normales Gehäuse oder als Turm aufgestellt werden. Mit rund 21,3 Liter Volumen ist es zudem für ein Mainstream-Gehäuse für seinen Formfaktor überaus kompakt. Trotzdem passen ein 360-mm-Radiator, 140 mm lange ATX-Netzteile und Tower-Kühler in das Gehäuse. Erscheinen wird das Modell am 26. Juni für rund 70 US-Dollar mit schwarzen Mesh-Abdeckungen, die Holzvariante startet ab 85 US-Dollar. In Weiß werden jeweils 5 US-Dollar mehr verlangt.

Riesiges V2000 steht auf Rädern

Im dritten Quartal wird die V-Serie mit dem V2000 für rund 240 US-Dollar fortgesetzt. Der geräumige Tower kommt auf Abmessungen von 579 × 260 × 610 mm. Das reicht für zwei Netzteile, EEB-Workstation-Mainboards und sechs Festplatten, aber auch 420-mm-Radiatoren. Weil das System potentiell schwer wird, stellt Lian Li es auf Räder. Highlight ist das Display mit Temperatursensor, das sich an der vorderen linken Ecke befindet.

Turbine bei Lancool

Das Lancool 4 ist ebenfalls für das dritte Quartal 2026 vorgesehen, soll aber nur 130 US-Dollar kosten. Das Turbinen-Design der Frontlüfter kennt man schon vom Lancool 217 Inf oder dem Lian Li Vector 150 Inf, hier wird es aber für einen ATX-Tower genutzt. Die untere Kammer des Gehäuses soll als Luftleiter dienen, ohne können Lüfter am Boden schräg gestellt werden, um die Grafikkarte besser zu belüften.

Das rund 110 US-Dollar teure, 505 × 249 × 496 mm große Lancool 207XL plant Lian Li für das vierte Quartal. Hinter seiner Schlitz-Front verbergen sich zwei 170-mm-Lüfter mit einer Tiefe von 30 Millimetern, am Boden sitzen zudem zwei Querstromlüfter zur GPU-Kühlung.

Neue Glaskästen

Darüber hinaus plant der Hersteller eine verbesserte Version des O11D Evo. Der Glaskasten kann als „V2“ Lüfter am Boden schräg gestellt werden und seine Mainboard-Halterung verschieben. Kreisförmige Aussparungen für Lüfter sollen zudem Turbulenzen und damit Lautstärke verringern. Im Handel wird das Evo V2 im vierten Quartal erscheinen, die Preisempfehlung liegt bei knapp 170 US-Dollar.

Für rund 100 US-Dollar hat Lian Li ab dem dritten Quartal einen weiteren Glaskasten parat. Das UX100 verfügt über eine gebogene Glasscheibe, die sich auch auf die rechte Gehäuseseite erstreckt. Der Schlitz im „Sockel“ dient dabei der Belüftung.