La difesa di AWS WAF non è uniforme lungo questi percorsi: su ALB con target group HTTP/2, una richiesta spezzata può far vedere al WAF solo una parte del body e lasciare passare ciò che arriva dopo. La risposta standard, “AWS ha sistemato”, qui non basta: per ALB la protezione resta incompleta finché non si abilita la verifica dopo dati sufficienti.
AWS ha pubblicato due vulnerabilità ad alta gravità, CVE-2026-13763 e CVE-2026-13762. CloudFront è stato corretto lato server, senza azioni del cliente; la falla su ALB riguarda solo i target group HTTP/2 e richiede l’attivazione della voce “Inspect after sufficient data” per chiudere il varco sulle managed rules.
Per chi usa AWS WAF dietro ALB, il rischio non è teorico: richieste fragmentate possono ancora bypassare i controlli sul body finché quella configurazione non è attiva. Lo stesso schema interessa ogni punto in cui proxy o load balancer e applicazione non interpretano HTTP/2 allo stesso modo.