Apache corrige un fallo que permite tomar servidores HTTP/2 sin iniciar sesión

El proyecto Apache HTTP Server publicó el 11 de noviembre la versión 2.4.71, que corrige un fallo crítico en mod_http2, el módulo que gestiona las conexiones HTTP/2. Según el aviso de Apache, la vulnerabilidad CVE-2026-119618 puede permitir la ejecución remota de código y afecta a todas las versiones de la 2.4.55 a la 2.4.70. A un atacante que llegue al servidor no le hace falta contraseña ni cuenta.

Qué falla en mod_http2

HTTP/2 permite que un navegador envíe muchas peticiones a la vez por una sola conexión, y mod_http2 las procesa en varios hilos. Red Hat explica que se trata de una condición de carrera en la función assign_headers(): un hilo de trabajo puede escribir en la memoria del hilo de la conexión a través de un asignador compartido sin bloqueo. Eso corrompe la memoria del servidor, y un atacante puede aprovecharlo para ejecutar sus propios comandos y hacerse con el proceso del servidor.

Red Hat afirma que una investigación pública «ha demostrado un exploit fiable» contra un servidor con la configuración por defecto y mod_http2 activado, pero no dice cuál. The Hacker News informa de que la empresa de seguridad Wiz dijo ese mismo día que no había ningún exploit disponible ni ataques detectados. En cualquier caso, los detalles ya son públicos y los administradores no deberían esperar a que aparezca un exploit que funcione.

El fallo lo comunicó a Apache el 26 de octubre OSS Scanner de Anthropic, un servicio gratuito que revisa proyectos de código abierto con los modelos de IA de la empresa. Anthony Weems y Simon Scannell, de Google Cloud Vulnerability Research, lo encontraron por su cuenta y lo comunicaron el 3 de noviembre. La 2.4.71 corrige además un cierre inesperado en mod_md, de gravedad importante, y la sobrescritura de un byte de la pila en mod_vhost_alias, de gravedad baja.

Quién tiene ya la corrección

Las distribuciones Linux compilan su propio Apache con sus propios números de paquete, así que la actualización correcta depende del sistema. Estado a 12 de noviembre:

Las versiones independientes del módulo, publicadas en GitHub como mod_h2, están afectadas de la 2.0.8 a la 2.0.42. Ese repositorio está archivado desde junio y no tiene ninguna versión corregida. En mayo Apache corrigió otro fallo de HTTP/2, CVE-2026-23918, en la 2.4.67, así que los servidores actualizados entonces siguen expuestos a este. El mes pasado NGINX corrigió fallos parecidos que también permitían ejecutar código sin iniciar sesión.

Cómo comprobar su servidor

• apachectl -v muestra la versión y apachectl -M | grep http2 indica si mod_http2 está cargado.
• Busque la directiva Protocols en la configuración, tanto la general como la de cada host virtual. Si aparece h2 o h2c, el servidor usa HTTP/2.
• Instale la actualización de su distribución en cuanto salga, o pase a la 2.4.71 si compila Apache usted mismo.
• Si aún no puede actualizar, Wiz recomienda dejar solo Protocols http/1.1. Las webs irán algo más lentas, pero el código vulnerable no se ejecutará.