Згідно з бюлетенем від 29 вересня 2026 року (CVE-2026-75804), стек OpenSSL QUIC не забезпечує загальний ліміт потоку даних для з’єднання. Вразливість виникає за трьох умов: віддалений вузол відкриває кілька потоків, кожен з яких залишається в межах індивідуального ліміту, та жоден потік не передає байт з нульовим зсувом. Це дозволяє обійти обмеження, що може призвести до виділення 100 MB пам'яті в купі на кожне з’єднання.
Умовний приклад: історична картка кількох QUIC-потоків у власних лімітах без байта з нульовим зсувом у жодному.