VULNERABILIDAD
Vulnerabilidad crítica en Apache HTTP/2 permitiría ejecución remota de código sin autenticación
CVE-2026-119618, con CVSS 9.8, afecta a las versiones 2.4.55 a 2.4.70 con HTTP/2 habilitado y ya tiene parche en 2.4.71; algunas distribuciones de Linux aún no lo aplicaron.
El proyecto Apache HTTP Server publicó el 11 de noviembre de 2026 la versión 2.4.71, que corrige una falla crítica en el módulo mod_http2, identificada como CVE-2026-119618. La vulnerabilidad afecta a las versiones 2.4.55 a 2.4.70 y solo impacta a servidores que tienen HTTP/2 habilitado mediante la directiva Protocols, ya sea con h2 sobre TLS o con h2c sobre TCP plano.
Según el análisis de Red Hat, que distribuye el servidor como parte de Red Hat Enterprise Linux, un atacante que pueda alcanzar el servidor no necesita autenticarse para explotar la falla y podría tomar el control total del proceso del servidor. La empresa calificó el problema con 9.8 sobre 10 en la escala CVSS.
El hallazgo fue reportado el 26 de octubre de 2026 por OSS Scanner, el servicio gratuito de escaneo de proyectos de código abierto de Anthropic, y también por Anthony Weems y Simon Scannell, de Google Cloud Vulnerability Research. La versión 2.4.71 corrige además un fallo de caída en mod_md y una escritura de un byte en la memoria de pila en mod_vhost_alias.
El aviso de Apache no ofrece solución alternativa. La empresa de seguridad Wiz recomendó a los administradores que no puedan actualizar de inmediato eliminar h2 y h2c de la directiva Protocols y dejar solo HTTP/1.1. El proyecto independiente mod_h2 no publicó una versión corregida y su repositorio está archivado desde el 9 de junio.
Cómo ocurrió
- Confirmado
- mod_http2Falla crítica en HTTP/2Confirmado.
- sin autenticaciónAtacante alcanza el servidorConfirmado.
- Apache HTTP ServerVersiones 2.4.55 a 2.4.70Confirmado.
- control del procesoEjecución remota de códigoConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Apache HTTP Server publicó la versión 2.4.71, que corrige CVE-2026-119618 en mod_http2.
- La falla afecta a las versiones 2.4.55 a 2.4.70 con HTTP/2 habilitado.
- Red Hat calificó la vulnerabilidad con 9.8 en la escala CVSS y señaló que no requiere autenticación.
- El problema fue reportado por OSS Scanner de Anthropic y por investigadores de Google Cloud Vulnerability Research.
SIN VERIFICAR O ABIERTO
- Red Hat afirma que una investigación pública demostró un exploit confiable contra una configuración por defecto con mod_http2, pero no identifica ese trabajo.
- Wiz sostuvo que no había exploit disponible ni explotación reportada en el entorno real, lo que contradice en parte la evaluación de Red Hat.
- No se conoce si la falla fue explotada en ataques.
- Algunas distribuciones de Linux aún no habían publicado sus parches al momento del aviso.
Contexto
El módulo mod_http2 implementa el protocolo HTTP/2 en el servidor Apache y solo se activa cuando la directiva Protocols lo habilita, ya sea para todo el servidor o para un host virtual específico. Por eso los administradores deben revisar tanto la configuración global como cada host virtual antes de dar por mitigado el problema.
Las distribuciones de Linux mantienen sus propias compilaciones del servidor y sus propios números de paquete. En Red Hat Enterprise Linux 9, por ejemplo, la corrección llega como mod_http2-2.0.26-7.el9_9.1, por lo que la actualización no siempre coincide con la versión 2.4.71 del proyecto original.
El proyecto independiente mod_h2, que también provee implementaciones del módulo, no publicó una versión corregida: su lista de lanzamientos termina en 2.0.42, la última versión afectada, y el repositorio quedó en modo lectura tras su archivado el 9 de junio de 2026.
Qué hacer
- Actualizar a la versión corregida Aplicar la versión 2.4.71 del proyecto Apache o el paquete que publique cada distribución para corregir mod_http2.
- Revisar la directiva Protocols Verificar la configuración global y la de cada host virtual para saber si HTTP/2 está habilitado y en qué modalidad.
- Deshabilitar HTTP/2 como mitigación Si no se puede actualizar de inmediato, quitar h2 y h2c de Protocols y dejar solo HTTP/1.1 hasta aplicar el parche.
- Revisar compilaciones propias Quienes usan mod_h2 independiente deben aplicar la misma mitigación, ya que ese proyecto no publicó una versión corregida.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
