Suricata, el motor de detección de intrusiones y análisis de tráfico, presenta un use-after-free (CWE-416) en la función Http2ThreadMultiBuf cuando una transacción HTTP/2 es inspeccionada por reglas que usan http.response_header, tanto con transform como sin ella. El fallo afecta a versiones anteriores a la 8.0.7 y tiene un CVSS de 9.4, lo que refleja un impacto crítico.
Un use-after-free en el motor de inspección puede provocar corrupción de memoria, caída del proceso o, en el peor caso, ejecución de código en el contexto del sensor. La probabilidad de explotación real en los próximos 30 días es baja según EPSS (0.4%), pero la severidad del fallo hace recomendable actualizar a 8.0.7 o superior cuanto antes, especialmente en despliegues que inspeccionan tráfico HTTP/2 con reglas de cabeceras de respuesta.
| CVE | CVE-2026-94084 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.4 / 10 |
| EPSS | 0.4% en 30 días (percentil 34) |
| CWE | CWE-416 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).