Gedeeltelijke AWS CloudFront-storing juli 2026: interne capaciteitslimiet legde Hugging Face, Britse Nationale Loterij en Japanse diensten plat

Op 16 juli 2026 kampte Amazon Web Services met een gedeeltelijke storing van zijn CloudFront-contentleveringsnetwerk. Gedurende ongeveer 3,5 uur waren tientallen grote websites wereldwijd onbereikbaar, waaronder Hugging Face en de Britse Nationale Loterij. De oorzaak was een interne capaciteitslimiet in een relatief nieuwe functie: VPC Origins. Het was dus geen algehele uitval van CloudFront.

Wat veroorzaakte de storing?

De storing trof alleen klanten die gebruikmaakten van CloudFront VPC Origins, een functie die in november 2024 werd gelanceerd. VPC Origins stelt CloudFront in staat om verkeer rechtstreeks naar private resources binnen de Virtual Private Cloud (VPC) van een klant te routeren . Volgens het post-incidentrapport van AWS stuitte het systeem dat de private verbindingen naar VPC Origins beheert op een interne verbindingsbeheerlimiet – een harde capaciteitsgrens in de controlelaag die routeringsconfiguraties beheert. Toen die limiet werd overschreden, kon de routeringsconfiguratie niet correct worden gedistribueerd naar de netwerkprocessors, waardoor alle VPC Origin-verzoeken mislukten met 5xx-fouten (voornamelijk HTTP 504 en 502) .

AWS omschreef de oorzaak als "een interne beperking van het systeem dat de VPC Origin-connectiviteit beheert" , en koppelde dit aan een pakketverwerkingssubsysteem dat verantwoordelijk is voor het routeren van verzoeken van CloudFronts edge-locaties naar resources in de VPC's van klanten . De storing was geen wereldwijde CloudFront-crash: klanten die S3-origins, ALB-origins via het openbare internet of andere origintypes gebruikten, ondervonden geen hinder . AWS-ingenieurs bevestigden dat het systeem dat verantwoordelijk is voor het distribueren van routeringsconfiguraties naar netwerkprocessors "de bijgewerkte configuratiegegevens niet correct kon laden" toen de interne capaciteitslimiet werd bereikt .

Omvang en duur

• Starttijd: 12:45 uur PDT (7:45 uur UTC / 21:45 uur Nederlandse tijd) op 16 juli 2026
• Eindtijd: 04:18 uur PDT (11:18 uur UTC / 13:18 uur Nederlandse tijd) – totale duur van ongeveer 3 uur en 33 minuten
• AWS erkende het probleem om 01:44 uur PDT, identificeerde de oorzaak om 02:57 uur PDT en meldde volledig herstel om 04:18 uur PDT

Getroffen sites waren onder andere:

• Hugging Face – De Hub en het downloaden van datasets waren niet beschikbaar; de Hugging Face-statuspagina bevestigde de oorzaak als een "wereldwijde Amazon Web Services-storing". Hugging Face was offline van ongeveer 08:30 tot 10:07 uur UTC .
• Britse Nationale Loterij – offline .
• Japanse diensten – Hatena Blog, Nico Nico (Niconico), PayPay, note.com en MyNa Portal (het digitale ID-systeem van de Japanse overheid) werden allemaal verstoord .
• Morpho (DeFi-protocol) – webapp en API ongeveer drie uur offline .
• WIPO eHague – het internationale intellectuele-eigendomsysteem werd verstoord; WIPO gaf richtlijnen uit om indieningstermijnen te verlengen vanwege de storing .

De storing was voornamelijk beperkt tot CloudFront VPC Origin-configuraties, maar omdat veel grote sites de gangbare "secure-by-default"-architectuur gebruiken van CloudFront met interne Application Load Balancers (ALB's) achter VPC Origins, was de impact groot. Sommige systemen vertoonden een patroon van een gedeeltelijke storing waarbij statische assets (via S3) toegankelijk bleven, terwijl dynamische API-aanroepen (via VPC Origins) 504-fouten retourneerden .

Een breder patroon: AWS-storingen en het risico van cloudconcentratie

Dit incident is de laatste in een reeks van spraakmakende AWS-fouten die de groeiende zorg over overconcentratie van internetinfrastructuur bij een klein aantal hyperscale cloudproviders aanwakkeren.

• 20 oktober 2025: Een grote AWS US-EAST-1-storing trof naar schatting meer dan 70.000 organisaties, waardoor diensten als Perplexity, Snapchat, Fortnite, Canva, Slack, Signal, PlayStation en Ring-camera's urenlang platlagen. De geschatte schade bedroeg meer dan 75 miljoen dollar per uur . De oorzaak was een DNS-probleem dat oversloeg naar DynamoDB en andere kern-AWS-diensten .
• 24 december 2025: Opnieuw een AWS-crash tijdens de feestdagen .
• Aanhoudende frequentie: AWS had in 2025–2026 meerdere CDN/DNS-gerelateerde incidenten, waaronder DNS-resolutiefouten in CloudFront en vertragingen bij Route 53 . Een organisatie die clouddiensten monitort, noemde 2025 een recordjaar voor cloudstoringen .

Waarom dit steeds gebeurt: Het internet is geconcentreerd rond AWS, Azure en Google Cloud voor rekenkracht, opslag, netwerken, DNS, authenticatie, CDN en beveiliging. AWS heeft alleen al ongeveer 30% van de wereldwijde cloudmarkt, terwijl Azure en Google respectievelijk 20% en 13% bezitten . Onderzoekers van de Iowa State University merken op dat vier kerninternetdiensten – DNS, authenticatie, e-mail en beveiligingsinfrastructuur – nu zijn geconcentreerd in een klein aantal wereldwijde platforms, waardoor een storing bij één provider direct in alle sectoren doorwerkt . Een analyse uit juli 2026 van het concentratierisico in de cloud wijst erop dat "een dienst in drie Availability Zones kan draaien en toch kan falen omdat deze afhankelijk is van één regionale controlelaag of één netwerkintermediair" .

De CloudFront-storing van juli 2026 is een schoolvoorbeeld van dit fenomeen: het was geen brede infrastructurele ineenstorting, maar een capaciteitslimiet in de controlelaag van één enkele functie die tientallen niet-verwante diensten in de financiële wereld, AI, gaming en de overheid platlegde – juist omdat ze allemaal hetzelfde onderliggende AWS-pad voor private origindistributie deelden. Zoals een analyse het verwoordde: "Twee AWS-storingen in drie maanden hebben bevestigd waar de meeste CTO's bang voor waren: afhankelijkheid van één enkele cloud is een existentieel risico" .