La Apache Software Foundation publicó el 11/11/2026 Apache HTTP Server 2.4.71 para corregir CVE-2026-119618, una vulnerabilidad crítica en mod_http2, el módulo que da soporte a HTTP/2. El fallo afecta a las versiones 2.4.55 a 2.4.70 con HTTP/2 activado y, según Red Hat, permite a un atacante remoto sin autenticar ejecutar código y tomar el control del proceso del servidor.
Las claves de CVE-2026-119618 en Apache en 20 segundos
- Afecta a Apache HTTP Server 2.4.55 a 2.4.70 y al mod_h2 independiente 2.0.8 a 2.0.42.
- Solo están expuestos los servidores con h2 o h2c en la directiva Protocols.
- Red Hat le da un CVSS de 9,8; Apache lo califica de crítico.
- La corrección es 2.4.71 o el paquete parcheado de cada distribución.
El origen es una condición de carrera en la función assign_headers() de mod_http2: cuando llegan peticiones concurrentes, varios hilos modifican la misma zona de memoria sin sincronizarse, lo que corrompe el heap. Apache lo clasifica como CWE-362 (ejecución concurrente con recurso compartido sin sincronización adecuada). Según el análisis de Ostorlab, el módulo escribe una cabecera Content-Length sintética en una tabla compartida con el hilo de la conexión, y un servidor que carga mod_http2 pero solo negocia HTTP/1.1 no llega a ejecutar ese código.
El fallo lo comunicaron de forma independiente OSS Scanner, una herramienta de Anthropic, que lo reportó el 26 de octubre, y los investigadores Anthony Weems y Simon Scannell, de Google Cloud Vulnerability Research. No es el primer problema de HTTP/2 en Apache este año: en mayo, la versión 2.4.67 corrigió CVE-2026-23918, un doble free en el mismo módulo. Quien se quedara en 2.4.67, 2.4.68, 2.4.69 o 2.4.70 sigue expuesto al nuevo fallo.
¿Hay exploit? Las fuentes no coinciden
Red Hat afirma en su ficha que una investigación pública ha demostrado un exploit fiable contra configuraciones por defecto con mod_http2 activado, pero no enlaza ni identifica esa investigación. Wiz, en cambio, indicó que no había exploit disponible ni explotación conocida. El fallo no figura, a día de hoy, en el catálogo de vulnerabilidades explotadas de la CISA. Lo prudente es tratarlo como explotable y actualizar sin esperar a confirmaciones.
Red Hat también matiza el impacto en sus sistemas: califica el fallo de «importante» en RHEL 9 y 10 porque sus paquetes de mod_http2 asignan un gestor de memoria propio a cada flujo HTTP/2, lo que dificulta mucho la explotación, y ya ha publicado paquetes corregidos (RHSA-2026:98981 para RHEL 9 y RHSA-2026:98978 para RHEL 10). RHEL 6, 7 y 8 no están afectados.
La versión 2.4.71 corrige además CVE-2026-106023, una desreferencia de puntero nulo en mod_md que tumba un proceso hijo (importante, versiones 2.4.30 a 2.4.70), y CVE-2026-109163, una sobrescritura de un byte en la pila en mod_vhost_alias (baja, versiones 2.4.69 y 2.4.70).
Cómo comprobar si tu servidor está expuesto
Hacen falta dos condiciones: una versión afectada y HTTP/2 negociable. Para la versión y los módulos cargados:
httpd -v # o apache2 -v en Debian/Ubuntu
apachectl -M | grep -i http2Después, revisa la directiva Protocols en la configuración global y en cada virtual host, y comprueba desde fuera si el servidor acepta HTTP/2:
grep -Ri "^s*Protocols" /etc/httpd /etc/apache2 2>/dev/null
curl -sI --http2 https://tu-dominio.example -o /dev/null -w '%{http_version}n'Si curl devuelve 2, el servidor negocia HTTP/2. Ten en cuenta que en Ubuntu 22.04 y 24.04 los paquetes incluyen una versión retroportada de mod_http2 (2.0.42), así que el número de Apache del paquete no basta para descartar la exposición, como explica Computingforgeeks.
Actualizar o desactivar HTTP/2
La solución es instalar Apache HTTP Server 2.4.71 o el paquete corregido de la distribución. El aviso de Apache no ofrece ninguna mitigación alternativa. Wiz recomienda, mientras no se pueda parchear, dejar solo HTTP/1.1 en la directiva Protocols, en la configuración global y en cada virtual host que la redefina:
Protocols http/1.1También se puede desactivar el módulo (a2dismod http2 en Debian y Ubuntu) y reiniciar el servicio. Es la única opción para quien use el mod_h2 independiente de GitHub: el repositorio se archivó en junio y no habrá versión corregida, así que toca migrar al mod_http2 de Apache 2.4.71.
El estado de los parches en distribuciones cambia por horas. Según The Hacker News, Debian sid ya tiene apache2 2.4.71-1, Amazon Linux tenía la corrección pendiente y Ubuntu no había publicado aviso; Ostorlab cita ya un aviso DSA-6620-1 de Debian. Conviene consultar los rastreadores oficiales antes de dar un servidor por corregido. Si Apache está detrás de un proxy inverso o una CDN, el riesgo depende de si el tráfico HTTP/2 llega hasta él o se termina antes.
Preguntas frecuentes
¿Qué versiones de Apache afecta CVE-2026-119618?
Apache HTTP Server 2.4.55 a 2.4.70 y el módulo independiente mod_h2 2.0.8 a 2.0.42. Solo son explotables si tienen HTTP/2 (h2 o h2c) activado.
¿Cómo lo soluciono?
Actualizando a Apache HTTP Server 2.4.71 o al paquete corregido de tu distribución. Si no puedes hacerlo aún, deja solo http/1.1 en la directiva Protocols o desactiva mod_http2.
¿Se está explotando?
No hay explotación confirmada. Red Hat dice que una investigación pública ha demostrado un exploit fiable, aunque no la identifica, y Wiz no tenía constancia de exploits disponibles.
¿Está afectado Red Hat Enterprise Linux?
RHEL 9 y 10 sí, y ya tienen paquetes corregidos de mod_http2. RHEL 6, 7 y 8 no están afectados.
Fuentes:
