Uma falha na implementação do HTTP/2 permite que um invasor remoto cause a negação de serviço (DoS) ao induzir a alocação excessiva de memória. O ataque, apelidado de HTTP/2 Bomb, combina a amplificação de compressão HPACK com a interrupção do controle de fluxo. Um invasor pode inserir um cabeçalho na tabela dinâmica HPACK e referenciá-lo repetidamente usando uma representação indexada compacta, criando um loop que exige memória crescente. Simultaneamente, o invasor utiliza uma janela de controle de fluxo de zero bytes para evitar que o servidor libere essa memória, enviando periodicamente quadros `WINDOW UPDATE` para evitar timeouts. Isso permite que uma única conexão de baixa largura de banda esgote a memória do servidor rapidamente, tornando-o inacessível. No Apache HTTP Server, este problema afeta especificamente os módulos `mod http` e `mod http2`. No nginx, o problema relaciona-se ao manuseio incorreto de certos cabeçalhos de cookie na implementação do HTTP/2.