HTTP Terminator findet neue Webangriffe in 30.000 Tests

Worum es geht

Der Sicherheitsforscher James Kettle von PortSwigger hat am 5. August 2026 den HTTP Terminator vorgestellt. Das System kombinierte Sprachmodelle mit spezialisierten Prüfwerkzeugen, um neue Varianten von HTTP-Desynchronisationsangriffen zu entwickeln und auf Websites zu testen, deren Programme solche Prüfungen ausdrücklich erlaubten. Ausgangspunkt waren 138 technische Standards, aus denen das System 15.000 kleine Textfragmente und nach Bereinigung von Dopplungen 30.000 mögliche Angriffsvektoren ableitete.

Die Tests liefen gegen 30.000 Websites mit strenger Begrenzung auf weniger als eine Anfrage pro Sekunde und Domain. Laut Kettles Forschungsbericht blieben nach der automatisierten Prüfung rund 700 verwundbare Ziele übrig. Betroffen waren unter anderem Banken, staatliche Infrastruktur, Sicherheitsprodukte und ein Flughafen.

Was HTTP Terminator tatsächlich macht

HTTP-Desynchronisation entsteht, wenn zwei hintereinander geschaltete Server dieselbe Anfrage unterschiedlich interpretieren. Ein vorgeschalteter Proxy kann glauben, eine Anfrage sei beendet, während der dahinterliegende Server noch auf weitere Daten wartet. Angreifer können dadurch Teile ihrer Anfrage mit der nächsten Anfrage eines anderen Nutzers vermischen.

HTTP Terminator automatisiert vier Schritte: Es erzeugt Hypothesen, prüft sie, versucht aus bestätigten Effekten einen realen Sicherheitsnachweis zu bauen und nutzt erfolgreiche Funde als Ausgangspunkt für weitere Varianten. Ein neu gefundener Ansatz mit dem offiziellen Inhaltstyp multipart/byteranges funktionierte laut der unabhängigen Zusammenfassung von The Hacker News gegen mehr als 200 Websites im Testbestand. Eine weitere Technik lässt einer eingeschleusten Anfrage absichtlich genau ein Byte fehlen. Erst die Anfrage eines Opfers liefert dieses Byte und kann damit einen sonst unzuverlässigen Angriff reproduzierbarer machen.

Der Quellcode wurde öffentlich auf GitHub bereitgestellt. Die veröffentlichte Implementierung nutzt Claude für Dokumentauswertung und Testfallerzeugung sowie Claude Code in einer Untersuchungsphase. PortSwigger nennt jedoch nicht für jeden einzelnen Fund das genaue Modell und die Modellversion.

Warum das wichtig ist

Die Arbeit zeigt mehr als eine schnellere Schwachstellensuche. Das System erzeugte und bestätigte nach Darstellung des Forschers mehrere neue Techniken selbstständig. Damit verschiebt sich die Grenze zwischen automatischem Scannen bekannter Fehler und dem Entwickeln bislang unbekannter Angriffsideen. Für Betreiber großer Webplattformen bedeutet das: Seltene Protokollabweichungen lassen sich nun in einem Umfang prüfen, den ein Mensch allein kaum bewältigen könnte.

Gleichzeitig blieb der Mensch entscheidend. Die allgemeinere Angriffsklasse „Shared-Parser Confusion“ entstand erst durch die Zusammenarbeit von System und Forscher. Auch eine Zero-Day-Lücke in Apache Traffic Server wurde in einer menschlich geführten Untersuchungskaskade bestätigt. PortSwigger bezeichnet sie als behoben und nennt CVE-2026-63078. The Hacker News fand am 7. August allerdings noch keinen passenden öffentlichen Eintrag bei CVE.org, NVD oder im damals verfügbaren Apache-Hinweis. Verteidiger können daher öffentlich noch nicht zuverlässig erkennen, welche konkrete Version die Korrektur enthält.

Einfach erklärt

Stellen Sie sich eine Paketstation mit zwei Beschäftigten vor. Die erste Person liest „Paket abgeschlossen“ und schiebt den Karton weiter. Die zweite glaubt wegen eines anders verstandenen Aufklebers, dass noch Inhalt fehlt, und nimmt einen Gegenstand aus dem nächsten Kundenpaket dazu. HTTP-Desynchronisation nutzt genau diese unterschiedliche Auslegung aus. HTTP Terminator probiert systematisch Tausende ungewöhnliche Aufkleber aus und merkt sich, bei welchen Kombinationen beide Stationen auseinandergeraten.

Praktisches Beispiel

Ein Händler betreibt einen Proxy vor seinem Webserver und erlaubt Sicherheitsprüfungen über ein Bug-Bounty-Programm. HTTP Terminator erzeugt 30.000 Varianten ungewöhnlicher Anfragen, begrenzt den Test auf weniger als eine Anfrage pro Sekunde und verwirft alle Varianten ohne messbaren Unterschied. Bei einer Variante antwortet der Proxy normal, während der Webserver auf ein weiteres Byte wartet.

Die Forschenden wiederholen den Test in einer isolierten Sitzung und zeigen, dass eine zweite autorisierte Testanfrage in die falsche Antwortwarteschlange gerät. Der Händler kann daraufhin die Verarbeitung unbekannter Methoden einschränken und HTTP/1.1 zwischen Proxy und Backend ersetzen. Wichtig ist: Ohne ausdrückliche Erlaubnis wäre ein solcher Test gegen fremde Systeme weder verantwortungsvoll noch zulässig.

Einordnung und Grenzen

• Die veröffentlichten Zahlen stammen überwiegend vom Entwickler des Systems. Eine unabhängige Reproduktion aller 30.000 Vektoren und rund 700 Ziele liegt nicht öffentlich vor.
• Der genaue Beitrag einzelner Modelle ist nicht vollständig nachvollziehbar, weil Modell und Version nicht jedem Fund zugeordnet wurden. Die Ergebnisse belegen daher keinen allgemeinen, modellunabhängigen Forschungsdurchbruch.
• Der Apache-Fall besitzt zum Zeitpunkt der Berichterstattung eine öffentliche Nachweislücke: PortSwigger nennt Patch und CVE, doch ein eindeutig zuordenbarer Herstellerhinweis mit betroffener und korrigierter Version war am 7. August noch nicht auffindbar.
• Automatisierte Angriffstests dürfen nur gegen eigene Systeme oder Ziele mit klarer Genehmigung laufen. Rate-Limits ersetzen keine rechtliche Erlaubnis.

Als Verteidigung empfiehlt PortSwigger, HTTP/1.1 auf der Verbindung zum Backend möglichst zu vermeiden. Wo das nicht geht, sollten Proxy und Backend dieselben erlaubten HTTP-Methoden verwenden und klar festlegen, welche Methoden einen Anfragekörper tragen dürfen.

SEO- und GEO-Schlüsselbegriffe

HTTP Terminator, PortSwigger, James Kettle, HTTP Desync, Request Smuggling, Apache Traffic Server, CVE-2026-63078, KI-Sicherheitsforschung, Websicherheit, Bug Bounty, Shared-Parser Confusion