Los administradores de Apache HTTP Server disponen de una corrección para una vulnerabilidad que podría permitir a atacantes remotos ejecutar comandos sin iniciar sesión cuando HTTP/2 está habilitado. La versión 2.4.71, publicada el 11 de noviembre, corrige CVE-2026-119618. La evaluación de Red Hat indica que la explotación podría dar a los atacantes el control del proceso del servidor, lo que permitiría acceder o modificar datos e interrumpir el servicio.
Las versiones afectadas de Apache abarcan de la 2.4.55 a la 2.4.70, según informó The Hacker News el 12 de noviembre. La exposición requiere HTTP/2: un servidor que solo gestiona tráfico HTTP/1.1 no está afectado. Las organizaciones que usan paquetes de distribuciones Linux deben revisar la información de publicación de su proveedor, porque esos paquetes tienen números de versión y correcciones propios.
Red Hat asigna a la vulnerabilidad una puntuación de gravedad CVSS de 9,8 sobre 10 y la califica como Crítica en conjunto, con calificaciones más bajas para determinados productos. Su evaluación del 11 de noviembre afirma que investigaciones públicas demostraron una explotación fiable de un servidor con la configuración predeterminada y mod_http2 habilitado. The Hacker News también recogió una declaración contradictoria de la empresa de seguridad Wiz ese mismo día: no había ningún exploit disponible y no se habían reportado explotaciones en entornos reales.
La configuración determina la exposición
Los administradores pueden comprobar si HTTP/2 está activo revisando la directiva Protocols de Apache. El valor h2 habilita el protocolo sobre TLS, que cifra la conexión; h2c lo habilita sobre TCP sin cifrar. La configuración puede aplicarse a todo el servidor o a hosts virtuales individuales, es decir, a las configuraciones que sirven sitios separados, por lo que conviene revisar ambos niveles.
HTTP/2 transporta varias solicitudes de forma simultánea a través de una sola conexión. En Apache, mod_http2 reparte ese trabajo entre hilos, es decir, rutas de ejecución independientes dentro del proceso del servidor. Red Hat describe un error de gestión de memoria en el que un proceso trabajador de solicitudes escribe en memoria que pertenece al hilo que gestiona la conexión.
Los hilos comparten un asignador sin bloqueos, un mecanismo que asigna memoria sin coordinar el acceso mediante bloqueos. La interacción defectuosa corrompe la memoria interna y puede permitir la ejecución de comandos por parte de un atacante con acceso de red al servidor, sin credenciales ni interacción del usuario.
El empaquetado cambia la dificultad de ese ataque. Red Hat Enterprise Linux (RHEL) 9 y 10 asignan un asignador independiente a cada flujo HTTP/2, lo que aumenta considerablemente la complejidad de la explotación, según Red Hat. Esas versiones reciben una calificación Importante en lugar de Crítica. El código vulnerable se introdujo en mod_http2 2.0.8; las versiones anteriores del módulo y RHEL 8 y anteriores no están afectadas.
Las compilaciones independientes de mod_h2 distribuidas a través de GitHub son vulnerables desde la versión 2.0.8 hasta la 2.0.42. Según el informe del 12 de noviembre, su lista de versiones terminaba en la 2.0.42, por lo que no había ninguna versión independiente corregida. El repositorio se archivó el 9 de junio y desde entonces es de solo lectura.
The Hacker News sitúa en el 26 de octubre un informe del fallo presentado por OSS Scanner de Anthropic. Ese servicio gratuito analiza proyectos de código abierto con los modelos de IA de Anthropic. También indica que Anthony Weems y Simon Scannell, de Google Cloud Vulnerability Research, informaron del problema «la semana pasada»; Red Hat reconoce a ambos investigadores.
Seleccione la corrección para la compilación desplegada
En las instalaciones que usan las versiones propias de Apache, los administradores deben instalar la 2.4.71, la versión corregida identificada en el aviso de seguridad de Apache, según informó The Hacker News. Esta versión también corrige un fallo de caídas en mod_md con gravedad Importante y un desbordamiento de un byte en la memoria de pila de mod_vhost_alias con gravedad Baja.
Una corrección anterior de HTTP/2 no basta: Apache 2.4.67, publicada el 4 de mayo, abordó CVE-2026-23918, pero esa versión y las posteriores hasta la 2.4.70 siguen dentro del rango afectado por el nuevo fallo.
Red Hat publicó las actualizaciones el 11 de noviembre. Los paquetes y avisos enumerados en el informe de The Hacker News son:
- RHEL 9:
mod_http2-2.0.26-7.el9_9.1, cubierto por RHSA-2026:98981. - RHEL 10:
mod_http2-2.0.29-5.el10_3.1, cubierto por RHSA-2026:98978. - RHEL 9.4 Update Services for SAP Solutions: una corrección en RHSA-2026:98968.
- RHEL 9.6, 9.8, 10.0 y 10.2 Extended Update Support: correcciones en RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 y RHSA-2026:98979, respectivamente. Los administradores deben obtener el paquete indicado en el aviso de su versión.
El informe incluye Red Hat JBoss Core Services y Red Hat Hardened Images como afectados, sin correcciones indicadas. Red Hat advierte además de que los productos construidos sobre componentes afectados, incluidas las ofertas basadas en contenedores, podrían estar expuestos sin aparecer por separado en su tabla de productos afectados.
En otros casos, la disponibilidad seguía siendo desigual el 12 de noviembre. The Hacker News, citando el rastreador de seguridad de Debian, indica que la versión inestable, también llamada sid, figura como corregida en apache2 2.4.71-1. Debian bookworm, trixie y forky aparecen como vulnerables, sin correcciones listadas. El rastreador de Amazon mostraba correcciones pendientes para Amazon Linux 2 (Core), Amazon Linux 2023 y Amazon Linux 2027 Preview. El rastreador de Ubuntu no tenía página para este CVE cuando la publicación lo revisó.
En los sistemas Red Hat, la comparación de versiones con el proyecto original por sí sola puede generar una alerta engañosa. El proveedor aplica las correcciones retrospectivamente a versiones de paquete existentes para mantener la compatibilidad, así que un escáner puede marcar como vulnerable un paquete ya corregido si solo comprueba el número de versión. Red Hat recomienda un escáner aprobado a través de su programa Vulnerability Scanner Certification.
Los administradores que esperan una actualización pueden desactivar HTTP/2. Según The Hacker News, el aviso de Apache no ofrece ninguna solución alternativa, pero Wiz recomienda eliminar h2 y h2c de la configuración Protocols correspondiente, dejando Protocols http/1.1. El mismo cambio de configuración se aplica a las instalaciones independientes de mod_h2 afectadas.
