Il punto non è un singolo bug di Apache, ma il fatto che la request desync è passata da caso raro a superficie di massa. Se front-end e back-end non concordano su quale risposta appartenga a quale richiesta, un utente può ricevere dati di un altro: cookie, API key e sessioni finiscono nel posto sbagliato.
PortSwigger dice che HTTP Terminator ha generato 30.000 vettori di desync, trovato circa 700 target vulnerabili e fatto emergere un zero-day in Apache Traffic Server, poi corretto come CVE-2026-63078. Tra i bersagli validati ci sono banche, infrastrutture governative, security product e un aeroporto; una tecnica di dangling-byte ha reso più affidabile il response queue poisoning, che prima era spesso troppo instabile per scalare.
Per chi gestisce reverse proxy, load balancer e API gateway HTTP/1.1, la lettura utile è questa: la patch del singolo prodotto non chiude il problema se la catena di parsing resta disallineata. Il blast radius è il flusso di risposta condiviso, non solo il componente vulnerabile.