Ataques de amplificação QPACK contra servidores HTTP/3 (Header Accordions)

O que aconteceu e o que fazer

A post da Fox-IO, retransmitida na lista de discussão oss-sec por Alan Coopersmith em 21 de outubro de 2026, relata ataques de amplificação QPACK contra servidores HTTP/3 e apresenta a técnica sob o nome Header Accordions. A publicação original traz uma análise detalhada do mecanismo, que trata da compressão de cabeçalhos do protocolo HTTP/3 e de como ela pode ser usada para ampliar o tráfego enviado a um alvo.

Na prática, uma empresa pode começar inventariando todos os endpoints HTTP/3 e QUIC que expõe, incluindo proxies reversos, balanceadores e CDNs de terceiros, e verificando quais estão ativos e com quais configurações de compressão de cabeçalhos. Em seguida, é possível aplicar limites de tamanho de cabeçalhos e de taxa de requisições, verificar com os fornecedores quais correções já estão disponíveis para cada componente e validar essas mudanças em homologação com tráfego controlado. Também vale monitorar a razão entre bytes de entrada e de saída por conexão, com alertas para picos anômalos, de modo que um ataque desse tipo seja detectado sem depender de análise manual.

Como a consultoria pode ajudar

Diagnóstico da exposição de servidores HTTP/3, proxies e CDNs a ataques de amplificação QPACK, com inventário de versões e configurações, e implementação de limites de cabeçalhos, monitoramento de amplificação e alertas em infraestrutura própria ou do cliente.

Próximo passo

Se a sua empresa opera serviços HTTP/3 próprios ou contratados de terceiros, envie uma breve descrição do cenário, da infraestrutura e dos serviços expostos, e receba uma proposta de escopo para diagnóstico e implementação.