Apache ha corregido una vulnerabilidad crítica en su servidor HTTP que podría permitir la ejecución remota de código (RCE) sin autenticación. La falla fue reportada de manera independiente por investigadores de Anthropic y Google.
Una falla en el módulo HTTP/2
Listada como CVE-2026-119618, la vulnerabilidad afecta a las versiones de Apache HTTP Server desde la 2.4.55 hasta la 2.4.70. Fue corregida el 11 de noviembre con el lanzamiento de la versión 2.4.71. Se encuentra en mod_http2, el módulo encargado de manejar el tráfico HTTP/2, un protocolo de comunicación entre navegadores y servidores.
La vulnerabilidad se basa en una condición de carrera (o « race condition »), situación en la que múltiples procesos acceden de forma inapropiada a un mismo recurso compartido, lo que puede corromper la memoria del servidor. Según Red Hat, un atacante podría explotar este defecto de forma remota, sin autenticación, para ejecutar comandos arbitrarios y tomar el control del proceso del servidor. El editor le ha asignado una puntuación CVSS de 9,8, en una escala que llega a 10. Red Hat precisa que «solo los servidores que tienen HTTP/2 activado están afectados; los servidores configurados para servir solo HTTP/1.1 no son vulnerables».
Reportes independientes y precauciones
Apache ha acreditado al escáner OSS de Anthropic por reportar la falla el 26 de octubre. Anthony Weems y Simon Scannell, de Google Cloud Vulnerability Research, reportaron la misma vulnerabilidad por su parte, el 3 de noviembre.
Por su parte, la empresa de seguridad en la nube Wiz indica que el 64% de los entornos en la nube de sus datos contenían recursos ejecutando versiones de Apache afectadas, y que el 51% contaba con instancias expuestas públicamente. Wiz advierte, sin embargo: estas cifras no tienen en cuenta la configuración de los servidores y, por lo tanto, no corresponden necesariamente a instalaciones explotables. Según Wiz, cuando su entrada de blog fue publicada el 11 de noviembre, no había ningún exploit disponible y no se había reportado ninguna explotación en la naturaleza.
Red Hat afirma que investigaciones públicas han demostrado la existencia de un exploit fiable contra un servidor con mod_http2 activado, sin que su aviso de seguridad identifique estos trabajos. Una prueba de concepto publicada en GitHub informa de la reproducción de una corrupción de memoria y cierres inesperados del proceso Apache, pero no demuestra la ejecución remota de código.
Apache recomienda instalar la versión 2.4.71 o los paquetes proporcionados por los editores de distribuciones. Si las actualizaciones no pueden desplegarse inmediatamente, desactivar HTTP/2 puede impedir temporalmente la explotación. Otra advertencia subraya que las actualizaciones de seguridad de WordPress no pueden resolver el problema, ya que la falla afecta al servidor web subyacente.
La versión 2.4.71 corrige también otras dos vulnerabilidades: la CVE-2026-106023, considerada importante, que puede provocar el cierre inesperado del proceso del servidor, y la CVE-2026-109163, de baja gravedad, un desbordamiento de búfer en la pila.
