La empresa de seguridad FoxIO publicó el 20 de octubre de 2026 un estudio sobre HTTP/3, la versión más nueva del protocolo de la web. Siete de las diez implementaciones que probó son vulnerables, y en algunas basta una conexión para dejar el servidor sin memoria. Afecta a webs servidas con HTTP/3 por software sin actualizar, entre ellos el de LiteSpeed.
Lo que se sabe
- Qué es: HTTP/3 comprime las cabeceras de cada petición con un sistema llamado QPACK. Según FoxIO, en las implementaciones afectadas faltan límites al descomprimir, o se aplican tarde. Un cliente remoto, sin iniciar sesión, puede hacer que el servidor reserve de decenas a miles de veces más memoria de la que envía.
- Qué provoca: que el servidor se quede sin memoria o con el procesador al máximo. Es una denegación de servicio: el estudio no habla de robo de datos ni de ejecución de código.
- Qué está corregido, según FoxIO a 20 de octubre: quic-go en la 0.57.0 (CVE-2025-64702), quiche de Cloudflare en la 0.29.3 (CVE-2026-12523), lsquic en la 4.9.0, publicada el 15 de julio de 2026, sin CVE, y Wireshark en la 4.6.2 y la 4.4.12 (CVE-2025-13945).
- Qué sigue sin corregir: el servidor HTTP/3 de Bun (versión 1.4.3), la biblioteca h3 de Rust y aioquic/mitmproxy. FoxIO propone no exponer el HTTP/3 de Bun y desactivar HTTP/3 en mitmproxy.
- Qué no está afectado: IIS de Microsoft, Envoy, ngtcp2/nghttp3 y la quiche de Google, según el estudio.
- Dónde se usan esas bibliotecas: quic-go está detrás de Caddy, Traefik y cloudflared, según FoxIO. lsquic es la biblioteca QUIC de LiteSpeed: el estudio identifica OpenLiteSpeed 1.9.1 con lsquic 4.8.2, una versión anterior al arreglo.
- OpenLiteSpeed: su registro de versiones dice que la 1.9.2, del 6 de agosto de 2026, actualiza lsquic a la 4.9.3, y que la 1.9.3, del 29 de septiembre, la lleva a la 4.10.0. Ambas son posteriores al arreglo de lsquic.
- LiteSpeed Enterprise: su registro de versiones no menciona lsquic ni QPACK. Su última versión estable es la 6.3.7, del 23 de septiembre de 2026. Con esos datos no se puede confirmar si está corregido.
- nginx y Apache no aparecen entre las implementaciones que probó FoxIO.
- Prueba pública: FoxIO publicó código para reproducir los fallos, lo que suele acelerar los intentos de ataque.
Qué cambia y qué no
Cambia que el fallo y la forma de reproducirlo ya son públicos. Un servidor con HTTP/3 activo y una biblioteca sin el arreglo se puede tumbar desde fuera.
No cambia nada si tu web no ofrece HTTP/3, o si su servidor ya trae una versión corregida. Varias correcciones tienen meses: la de quic-go es de noviembre de 2025 y la de lsquic, de julio de 2026.
Una web caída no carga para nadie: ni para tus clientes ni para Google. Si la caída dura poco, el efecto en la búsqueda suele ser pequeño. Esa lectura es de este artículo, no del estudio.
Cómo saber si te afecta
- Mira si tu web usa HTTP/3. En Chrome, abre las herramientas de desarrollo, pestaña «Red», y activa la columna «Protocolo»: si ves «h3», tu web lo usa. También sirve `curl -sI https://tusitio.com`: busca la cabecera `alt-svc` con «h3».
- Mira qué servidor la atiende. La cabecera `server` de esa misma respuesta suele decirlo: «LiteSpeed», «Caddy»… Si pone «cloudflare», la conexión la atiende la red de Cloudflare, no tu servidor, y el estudio no evalúa ese servicio.
- Si tienes OpenLiteSpeed en tu propio servidor, comprueba que tienes la 1.9.2 o posterior. Si estás en la 1.9.1 o antes, actualiza.
- Si usas Caddy o Traefik, actualiza a su última versión y comprueba que incluye quic-go 0.57.0 o posterior.
- Si tu web está en un hosting compartido con LiteSpeed, la actualización es cosa del proveedor. Pregunta: «¿Qué versión de LiteSpeed y de lsquic tenéis? ¿Incluye la corrección de lsquic 4.9.0 contra los fallos QPACK que publicó FoxIO el 20 de octubre?».
- Si no puedes actualizar hoy, desactivar HTTP/3 en el servidor es una salida temporal: los navegadores pasan a HTTP/2 y la web sigue funcionando.
- Si usas Bun como servidor HTTP/3, no lo expongas a internet hasta que haya arreglo, como recomienda FoxIO.
Relacionado: nginx corrige 5 fallos: actualiza a 1.30.6 o 1.31.7
Fuentes
- FoxIO, «Header Accordions: QPACK amplification attacks against HTTP/3 servers», Sébastien Féry, 20 de octubre de 2026 (en inglés)
- OpenLiteSpeed, registro de versiones 1.9.x (en inglés)
- LiteSpeed Technologies, registro de versiones de LiteSpeed Web Server (en inglés)
- quic-go, aviso GHSA-g754-hx8w-x2g6 (CVE-2025-64702) (en inglés)
- Cloudflare quiche, aviso GHSA-4fgf-9xrr-88gf (CVE-2026-12523) (en inglés)
- The Hacker News, «New QPACK Flaws Can Crash HTTP/3 Servers, Trigger Up to 4,000-Fold Memory Amplification», 22 de octubre de 2026 (en inglés)
Actualizaciones: aquí se añadirá si LiteSpeed confirma qué versión de su servidor Enterprise trae el arreglo o si Bun, h3 o aioquic publican corrección.