Il problema non è solo Alibaba. Chiunque integri XQUIC eredita lo stesso punto debole: con traffico normale e senza autenticazione, un client può mandare giù il processo HTTP/3 se la libreria usa le impostazioni QPACK predefinite. La risposta standard — aspettare la patch — qui non regge, perché al momento non esiste ancora una release corretta.
FoxIO ha reso pubblico XRING l'8 luglio. Il difetto colpisce XQUIC fino alla v1.9.4, quindi anche Tengine e altri deployment HTTP/3 che passano da quella dipendenza; circa 260 byte di traffico QPACK valido bastano a provocare il crash, senza pacchetti malformati né login. In assenza di fix, resta solo una mitigazione temporanea: disattivare la dynamic table QPACK o togliere HTTP/3.
Per chi opera servizi che incorporano XQUIC, il rischio concreto è di availability su una superficie più ampia di quella che sembra a prima vista: un request apparentemente legittimo può abbattere il worker prima ancora dell'autenticazione. Questa vulnerabilità non resta confinata ai sistemi Alibaba; segue la libreria ovunque sia stata integrata.