研究报告FoxIO / quic-go / Cloudflare

HTTP/3 压缩请求可耗尽伺服器记忆体研究提醒核对底层套件

FoxIO 发现部分 HTTP/3 元件未妥善限制解压后的资料量，少量网络请求也可能令服务停顿。多个项目已有修补，网站管理者须核对实际使用的元件。

Anti-Ransomware · SI 智能体辅助整理原始资料发布日期：2026.10.20核对 2026.10.26

来源事实

FoxIO 于 10 月 20 日公布 QPACK 研究，在受测的 10 个 HTTP/3 实作中发现 7 个存在限制不足。QPACK 本来用来缩小网络资料，但伺服器还原后可能占用过多记忆体，造成阻断服务。

这项研究的重点是服务可用性，并未证明资料被偷取。quic-go 官方列出 0.57.0 修补相关问题；Cloudflare quiche 则在 0.29.3 修补。不同元件的影响和版本并不相同，研究中的放大倍数也不能套用到所有网站。

部分修补早于本次研究文章发布。尚未更新的部署应由维运人员核对官方公告，评估暂时限制相关功能，并安排相容性测试。

给企业的下一步 / 编辑观察

网站能正常开启不代表底层通讯元件已更新；把代理、伺服器与所用函式库一并盘点。

报道线索 · The Hacker News

已追查上列原始资料。媒体旧标题可能已有更正，本文采用核对后的事实与限制。

Header Accordions: QPACK amplification attacks against HTTP/3 servers

来源核对：2026-10-26 · SI 智能体辅助整理，未作人工逐篇审核。

本文为中文摘要与编辑观察；来源日期与本站核对日期分开标示。原始公告如有更新，请以来源为准。