レースコンディションが hyper に存在：Cloudflare が Rust HTTP/1 スタックをデバッグ中

Cloudflareは、Rustエコシステムの主要なHTTP/1クレートであるhyperに競合バグを特定しました。特定のタイミングで、大きなレスポンスがサイレントに切り捨てられる可能性がありました（200 OK、ボディ切断）。上流に修正を依頼済み。

簡単に言うと。RustのHTTP/1ライブラリであるhyperにレースコンディションの脆弱性があり、タイミングが悪ければ大きなHTTPレスポンスが静かに切り捨てられる可能性がありました。サーバーは200 OKを返すものの、ボディが不完全な状態でエラーも発生しませんでした。Cloudflareがこの問題を発見し、修正して公開しました。

事実

InfoQによると（2026-07-12）、CloudflareのチームはhyperのHTTP/1実装におけるまれなレースコンディションを文書化し修正しました。このバグは数年間存在していましたが、非常に特定のタイミング条件下でのみ発生し、レスポンスが途中で切断されながらも200 OKステータスが返されていました。修正はupstreamにマージされ、リリースがアナウンスされています。

解説

重要な3つのポイントです。1つ目：Cloudflareの規模では、時間的な偶然がバグになるのです。ロジックの問題ではありません。2つ目：Cloudflareが数年間にわたる中央ライブラリのバグを特定し修正できたことは、Rustがネットワーク層に定着した理由を思い起こさせます。コードの可読性がバグの再現性を強制するからです。3つ目：Cloudflareのような規模のオペレーターでなければ、このバグは見つからなかったでしょう。これはオープンソースの共有の代償であり、利点でもあります。

今後の動向

Axum、Actix、reqwestなど、hyperを使用するライブラリの修正適用には数週間かかる見込みです。

まとめ。HTTP/1は決して完成していません。Rustであろうとなかろうと、インターネットと通信するサーバーは目に見えない競合状態の場であり、200 OKはボディが到達したことを保証しません。