CVE-2026-33871: DoS su Netty HTTP/2 via flood CONTINUATION

Il CVE-2026-33871 è un Denial of Service che colpisce Netty, il framework di rete asincrono ampiamente utilizzato in applicazioni Java enterprise. La vulnerabilità risiede nel gestore HTTP/2 e viene attivata da un flusso di frame CONTINUATION inviati da un attaccante remoto. Senza un limite al numero di frame, l'attaccante può bypassare le protezioni basate su dimensione utilizzando frame a zero byte, provocando consumo CPU eccessivo e indisponibilità del servizio.

Con CVSS 7,5 (classificazione HIGH), questa vulnerabilità ha un impatto operazionale significativo per server HTTP/2 in produzione. La patch è stata rilasciata a marzo 2026 nelle versioni 4.1.132.Final e 4.2.10.Final. Un segnale da repository GitHub è emerso il 6 novembre 2026, suggerendo che l'interesse tecnico sulla vulnerabilità rimane attuale. Non sono riportati exploit pubblici confermati, ma il consumo CPU minimo richiesto per causare DoS rappresenta un rischio concreto.

I sysadmin devono verificare immediatamente quali versioni di Netty sono in uso nei loro sistemi, soprattutto per servizi HTTP/2 esposti. L'aggiornamento alle versioni patched deve essere prioritario. Nel frattempo, monitora il traffico HTTP/2 in ingresso per pattern anomali di frame CONTINUATION; implementa rate limiting sui frame a livello di WAF o reverse proxy se disponibile. Testa la patch in ambiente staging prima del deployment in produzione, per garantire compatibilità con le applicazioni dipendenti.