何が起きたか
Twisted の HTTP/2 サーバーは、END_STREAM 付きのリクエストヘッダー直後にストリームをリセットされても、リセットより先にリクエストを処理してしまいます。リセットされたストリームは同時ストリーム数の上限に数えられず、リセット頻度の制限もないため、認証なしのクライアントが1本の接続でこれを繰り返してサーバーの CPU を使い切れます。CVE-2023-44487（HTTP/2 Rapid Reset）と同じ種類の問題です。
やること
26.10.0rc1 以降へ更新します。すぐ更新できない場合は、Twisted の HTTP/2 を無効にするか、Rapid Reset 対策済みのリバースプロキシの背後に置いてください。
出典
GitHub Advisory Database（GHSA-vpp8-g58w-m8mp）github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。