Ciberseguridad · Aviso

Apache HTTP Server (módulo mod_http2 / protocolo HTTP/2) · Ejecución remota de código sin autenticación vía HTTP/2

Apache ha publicado la versión 2.4.71 para corregir un fallo crítico en su módulo HTTP/2 que permitiría a un atacante remoto y sin autenticación ejecutar código en el servidor; no consta explotación activa, pero ya existe un exploit demostrado por los investigadores.

Publicado 12 noviembre 2026 Lectura 7 min Ref. CVE-2026-119618 CVSS 9.8 (Red Hat (CNA de sus productos); puntuación 9,8 (CVSS v3.1). La NVD y cve.org aún no publican puntuación propia (figura «N/A»). Apache califica el fallo como «crítico» sin asignar valor numérico. Red Hat rebaja la severidad a «Importante» para sus paquetes de RHEL 9 y RHEL 10.)

Resumen

La Apache Software Foundation ha corregido CVE-2026-119618, una vulnerabilidad crítica en mod_http2, el módulo que da soporte al protocolo HTTP/2 en el servidor web Apache HTTP Server. Un fallo de sincronización entre hilos puede corromper la memoria del proceso y permitir la ejecución remota de código (RCE) a un atacante no autenticado. Están afectadas las versiones 2.4.55 a 2.4.70 con HTTP/2 habilitado; la solución es actualizar a 2.4.71. No hay constancia de explotación activa ni inclusión en el catálogo de CISA, aunque los investigadores afirman haber desarrollado un exploit fiable.

Materias: Vulnerabilidades, Apache HTTP Server, Servidores web, Ejecución remota de código (RCE), HTTP/2, Parches y actualizaciones, Gestión de riesgos TIC

Apache HTTP Server —uno de los servidores web más extendidos de Internet, el programa que atiende las peticiones de los navegadores y entrega las páginas— arrastraba un fallo crítico en el componente que gestiona el protocolo HTTP/2. El 11 de noviembre de 2026 la Apache Software Foundation publicó la versión 2.4.71, que lo soluciona. Identificado como CVE-2026-119618, el defecto permitiría, en teoría, que un atacante tomara el control del servidor desde la red sin necesidad de credenciales. A día de hoy no consta que se esté explotando, pero el riesgo es suficientemente serio como para actuar sin demora.

Descripción

Qué es y a quién afecta

CVE-2026-119618 es una vulnerabilidad calificada como crítica por la Apache Software Foundation. Reside en mod_http2, el módulo del servidor Apache que implementa HTTP/2 (la versión 2 del protocolo con el que el navegador pide páginas al servidor, pensada para ser más rápida al permitir varias peticiones simultáneas sobre una misma conexión).

El identificador CVE (Common Vulnerabilities and Exposures) es el código estándar con el que la industria nombra cada vulnerabilidad para que todos hablen de lo mismo.

Solo son vulnerables los servidores que tengan HTTP/2 activado. Un servidor configurado para servir únicamente HTTP/1.1 no está expuesto.

Versiones afectadas

Apache HTTP Server: de la 2.4.55 a la 2.4.70 (ambas incluidas).
Módulo independiente mod_h2 distribuido por separado desde GitHub: de la 2.0.8 a la 2.0.42.

Conviene una advertencia práctica: muchas distribuciones de Linux (Debian, Red Hat, SUSE, etc.) retroportan las correcciones a sus propios paquetes sin cambiar el número de versión visible. Por tanto, un servidor que muestre una versión «antigua» puede estar ya parcheado si recibe actualizaciones del sistema operativo. Lo determinante es la versión del paquete del proveedor, no el número que anuncia Apache.

Según datos de la empresa de seguridad Wiz, un porcentaje elevado de entornos en la nube ejecutan instancias vulnerables, muchas de ellas expuestas a Internet; es una estimación de un proveedor comercial —no una fuente oficial— y, además, no tiene en cuenta si cada servidor tiene o no HTTP/2 activado, de modo que debe tomarse como orden de magnitud y no como recuento exacto.

Mecánica

Cómo funciona el fallo

El origen es una condición de carrera (en inglés race condition; técnicamente, «ejecución concurrente con recurso compartido y sincronización incorrecta», catalogada como CWE-362). Una condición de carrera ocurre cuando dos o más hilos de ejecución —tareas que el programa realiza en paralelo— acceden a la vez a la misma zona de memoria sin coordinarse bien. El resultado depende de quién llegue antes, y en ciertos ordenes el estado interno queda corrupto.

En este caso, el problema está en la función interna assign_headers() de mod_http2, encargada de procesar las cabeceras HTTP de las peticiones. HTTP/2 atiende varias peticiones simultáneas repartidas entre distintos hilos; por un defecto de sincronización, un hilo puede modificar memoria que pertenece a otro. Eso provoca una corrupción del heap (la región de memoria que el programa reserva de forma dinámica mientras funciona).

Un atacante que controle el momento y el contenido de esas peticiones puede, en teoría, moldear esa corrupción de memoria hasta lograr la ejecución remota de código (RCE): hacer que el servidor ejecute instrucciones elegidas por él, con los privilegios del proceso del servidor web. El ataque es remoto (se lanza por la red) y no requiere autenticación ni interacción de ningún usuario, lo que explica la máxima severidad.

Red Hat matiza un aspecto técnico relevante sobre la dificultad real: en sus paquetes de RHEL 9 y RHEL 10, cada flujo HTTP/2 reserva memoria desde un asignador separado, lo que dificulta la explotación; por eso Red Hat rebaja la severidad a «Importante» en esos productos en lugar de «Crítica». Es un buen recordatorio de que el impacto efectivo depende de la compilación y la configuración concretas.

Qué podría conseguir un atacante

Con control del proceso del servidor web, el atacante podría ejecutar comandos, acceder a datos o interrumpir el servicio. En entornos en la nube o con contenedores, una instancia Apache comprometida podría servir de punto de entrada para moverse lateralmente hacia otros servicios internos; esto último es un escenario de riesgo descrito por analistas, no un hecho observado en ataques reales.

Respuesta del creador

Respuesta del fabricante y de las autoridades

La Apache Software Foundation publicó el aviso y la versión corregida 2.4.71 el 11 de noviembre de 2026, el mismo día en que integró la corrección en el código (commit 824beab). Califica el fallo de crítico y, a diferencia de otras entradas de su boletín, no ofrece una mitigación alternativa: la vía recomendada es actualizar.

La vulnerabilidad fue descubierta de forma independiente por dos equipos, lo que refuerza su verosimilitud: el OSS Scanner de Anthropic (referencia interna ANT-2026-MAPKT6MZ), que la comunicó el 26 de octubre de 2026, y el equipo de Google Cloud Vulnerability Research (los investigadores Anthony Weems y Simon Scannell), que la reportó el 3 de noviembre de 2026.

Red Hat, en su calidad de autoridad de numeración (CNA) para sus propios productos, ha publicado ficha con puntuación CVSS 9,8 y afirma que «investigación pública ha demostrado un exploit fiable contra un servidor con configuración por defecto y mod_http2 habilitado». No obstante, no afirma que se esté explotando en ataques reales.

Sobre la explotación conviene ser preciso y no alarmista:

No consta explotación activa en el momento de redactar este aviso.
La vulnerabilidad no figura en el catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities, KEV) de la agencia estadounidense CISA.
Circulan referencias a una posible prueba de concepto (código que demuestra el fallo) en repositorios públicos, pero no se ha verificado de forma independiente su alcance; tómese con cautela.

El INCIBE-CERT (el centro de respuesta a incidentes del Instituto Nacional de Ciberseguridad de España) no había publicado, al cierre de este aviso, una ficha específica para esta CVE, aunque suele hacerse eco de las vulnerabilidades críticas de Apache en sus boletines de alerta temprana.

Parches y mitigaciones

Parches y qué hacer hoy

1. Actualizar (solución definitiva).

Apache HTTP Server: actualizar a la versión 2.4.71 o posterior, que corrige la condición de carrera en assign_headers().
Módulo mod_h2 independiente (compilado desde GitHub): actualizar a una versión posterior a la 2.0.42.
Si el servidor se gestiona a través de una distribución de Linux, aplicar las actualizaciones del sistema operativo y confiar en el número de versión del paquete del proveedor, no en el que anuncia Apache.

La versión 2.4.71 corrige, además, otras dos vulnerabilidades de menor gravedad: CVE-2026-106023 en mod_md (importante, provoca la caída de un proceso hijo) y CVE-2026-109163 en mod_vhost_alias (baja). Es un motivo más para actualizar.

2. Mitigación provisional, si no se puede parchear de inmediato.

Desactivar HTTP/2 elimina el vector de ataque, ya que el fallo solo existe en ese módulo. Basta con restringir los protocolos a HTTP/1.1 en la configuración (por ejemplo, en httpd.conf), eliminando las referencias a h2 y h2c:

# Restringir los protocolos a HTTP/1.1
Protocols http/1.1

Tras el cambio hay que recargar la configuración del servidor. Es una medida temporal con un coste: se pierden las ventajas de rendimiento de HTTP/2. Debe revertirse una vez aplicado el parche.

Recomendación

Dado que existe un exploit demostrado por investigadores, aunque todavía no haya explotación activa conocida, lo prudente es priorizar la actualización a 2.4.71 en los servidores con HTTP/2 habilitado expuestos a Internet, y aplicar la mitigación provisional solo donde el parcheo deba esperar.