La fundación Apache publicó el 11 de noviembre de 2026 la versión 2.4.71 de su servidor web para corregir CVE-2026-119618, una vulnerabilidad considerada crítica en el módulo HTTP/2 que puede permitir la ejecución remota de código. Todas las versiones de la 2.4.55 a la 2.4.70 están afectadas siempre que HTTP/2 esté activado. Wiz no señalaba ninguna explotación activa el 11 de noviembre, pero la disparidad entre las evaluaciones publicadas aconseja no esperar.
Una concurrencia mal sincronizada en el corazón de mod_http2
El defecto se encuentra en la función assign_headers() del módulo mod_http2, que gestiona el protocolo HTTP/2 en Apache HTTP Server. Según la página de vulnerabilidades de la rama 2.4 que mantiene el proyecto, se trata de un problema de acceso concurrente a un recurso compartido sin una sincronización correcta, que puede desembocar en una ejecución remota de código. En concreto, dos procesos que acceden a la misma zona de memoria al mismo tiempo pueden corromperla.
Según el análisis de Wiz, un atacante remoto y no autenticado podría así corromper el heap y, potencialmente, ejecutar sus propios comandos con los privilegios del proceso del servidor web. TheHackerWire matiza: una corrupción no controlada provoca sobre todo la caída de un proceso, lo que produce una denegación de servicio; para llegar a la ejecución de código hay que saber organizar la memoria para sobrescribir punteros sensibles, lo que supone un atacante experimentado.
Los servidores que solo hablan HTTP/1.1 no están expuestos, recuerda Rescana, que cita la evaluación de Red Hat. El módulo mod_h2 distribuido por separado en GitHub también está afectado, de la versión 2.0.8 a la 2.0.42.
Una vulnerabilidad descubierta por dos equipos, uno de ellos con un escáner de IA
El proyecto Apache atribuye el hallazgo a dos descubrimientos independientes. El primero procede de la herramienta OSS Scanner de Anthropic, notificado el 26 de octubre; el segundo, de Anthony Weems y Simon Scannell, del equipo de investigación de vulnerabilidades de Google Cloud, comunicado el 3 de noviembre. La corrección y la publicación se produjeron el mismo día, el 11 de noviembre.
Este detalle importa: el uso de herramientas de análisis automatizado, incluidas las basadas en IA, para examinar a fondo los grandes programas de código abierto acelera el ritmo de los parches. LinuxCompatible señala que la versión 2.4.70 solo tenía cinco días, y que las versiones 2.4.68 y 2.4.69 habían corregido 13 y 20 vulnerabilidades respectivamente este año. El módulo HTTP/2 y los módulos de proxy son, según el mismo sitio, los que más correcciones han recibido en 2026.
La versión 2.4.71 corrige también dos defectos menos graves: CVE-2026-106023, una desreferencia de puntero nulo en mod_md, el módulo que gestiona los certificados TLS, clasificada como importante y presente desde la 2.4.30; y CVE-2026-109163, un desbordamiento de un byte en mod_vhost_alias, de gravedad baja.
Evaluaciones que divergen sobre el riesgo real
El proyecto Apache califica la vulnerabilidad de crítica sin dar una puntuación numérica. Rescana indica que Red Hat le asigna un 9,8 sobre 10, aunque clasifica sus propios sistemas Enterprise Linux 9 y 10 como «importante», porque su gestión de la memoria por flujo dificultaría la explotación.
Sobre la existencia de un código de ataque, las fuentes no coinciden. Wiz afirmaba el 11 de noviembre que no había ningún exploit disponible. Rescana, que cita a SecurityWeek, informa de que una prueba de concepto pública reproduce una corrupción de memoria y bloqueos sin demostrar la ejecución de código, mientras que Red Hat menciona una investigación pública que habría logrado una explotación fiable en una configuración por defecto. A 13 de noviembre, la vulnerabilidad no figuraba en el catálogo de vulnerabilidades explotadas de la agencia estadounidense CISA.
La exposición, en cambio, es amplia. Wiz calcula que el 64 % de los entornos en la nube que observa contienen recursos vulnerables y que el 51 % tienen instancias expuestas en Internet, cifras que no tienen en cuenta la configuración.
Qué deben hacer los administradores
- Actualizar a Apache 2.4.71, o al paquete corregido de su distribución. Debian, Ubuntu y Red Hat publicaron correcciones el 11 y el 12 de noviembre, según Rescana.
- Comprobar la exposición: un servidor está afectado si funciona con una versión del rango vulnerable y carga el módulo http2. TheHackerWire propone comprobar la versión y la lista de módulos cargados con los comandos apache2ctl o httpd.
- A falta de un parche inmediato, limitar la directiva Protocols a http/1.1 eliminando h2 y h2c, y después reiniciar, como recomiendan Wiz y Red Hat. No es una solución validada por Apache, sino una medida provisional.
- Consultar a los proveedores: los servicios de alojamiento y los fabricantes de software que integran Apache deben indicar su calendario de actualización.
Atención a los números de versión: las distribuciones suelen retroportar las correcciones, de modo que un paquete con un número más antiguo puede estar corregido. El aviso de seguridad del responsable de la distribución es el que da fe.
Preguntas frecuentes
¿Es vulnerable mi sitio si no utiliza HTTP/2?
No, según la evaluación que recoge Rescana: solo están afectados los servidores con HTTP/2 activado. Conviene, no obstante, comprobar la configuración real con los comandos de control de módulos indicados más arriba.
¿Están explotando la vulnerabilidad los piratas informáticos?
Wiz no detectaba ninguna explotación activa el 11 de noviembre de 2026, y la vulnerabilidad no figuraba en el catálogo de la CISA el 13 de noviembre. Circula una prueba de concepto que provoca bloqueos, y la existencia de una explotación fiable es objeto de debate entre las fuentes.
¿Qué versión corrige el módulo mod_h2 independiente?
Las fuentes divergen: la página oficial de Apache no menciona ninguna versión corregida, TheHackerWire cita la 2.0.43, y Rescana constataba el 13 de noviembre que la última versión publicada en GitHub seguía siendo la 2.0.42. Lo más seguro es consultar el repositorio del proyecto antes de desplegar.
Fuentes
- Apache HTTP Server 2.4 vulnerabilities — Apache Software Foundation, 2026-11-11
- Apache HTTP Server 2.4.71 releases critical HTTP/2 RCE fix — LinuxCompatible, 2026-11-11
- Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know — Wiz, 2026-11-11
- Critical alert: CVE-2026-119618 exposes Apache HTTP/2 servers to remote code execution — TheHackerWire, 2026-11-11
- Apache httpd mod_http2 CVE-2026-119618: patch now — Rescana, 2026-11-13