Исследователь FoxIO Себастьен Фери опубликовал 20 октября разбор Header Accordions: в семи из десяти проверенных реализаций обработки HTTP/3 он нашёл ошибки, позволяющие перегрузить память или нарушить работу программы. В отдельных тестах хватало одного соединения без входа в аккаунт. Проблема затрагивает не весь HTTP/3: среди проверенных вариантов были и устойчивые к этим атакам.

Общий механизм связан с QPACK — сжатием служебных полей веб-запросов. Вместо повторяющегося текста клиент может передавать короткие ссылки, а принимающая сторона разворачивает их обратно. Ограничение объёма полученных байтов не спасает, если распакованные данные занимают гораздо больше памяти. В разных проектах лимит отсутствовал, проверялся слишком поздно или не учитывал накладные расходы хранения каждого поля. В тесте Bun небольшой поток данных приводил к исчерпанию памяти; другой вариант заставлял сервер застрять в бесконечном цикле.

Часть исправлений вышла задолго до этого общего разбора. Разработчики quic-go описали проблему ещё в декабре 2025 года: она затрагивала и серверы, и клиенты, а исправленная версия — 0.57.0. Теперь размер проверяется по мере распаковки. Cloudflare закрыла ошибки в quiche 0.29.3 в июле 2026-го, включая выделение памяти по заявленному размеру ещё не полученного блока.

На дату публикации FoxIO отмечала нерешённые проблемы в проверенных Bun, h3 и связке aioquic/mitmproxy. Отчёт показывает воспроизводимые отказы в тестах, но не устанавливает число пострадавших сайтов или применение этих атак злоумышленниками. Его главный вывод относится к устройству защиты: ограничивать нужно объём данных в памяти во время их распаковки и хранения, а не только размер запроса в сети.