Apache HTTP Server con HTTP/2: fallo crítico en mod_http2 permite la ejecución remota de código

Qué ocurrió

El 11 de noviembre de 2026 el proyecto Apache HTTP Server publicó CVE-2026-119618 y lanzó la versión 2.4.71. El proyecto clasifica el fallo como crítico. Se encuentra en el módulo HTTP/2 mod_http2, en la función assign_headers(). Los recursos compartidos no se sincronizan correctamente cuando las peticiones se ejecutan al mismo tiempo. El aviso del proyecto indica que esto provoca una corrupción del montículo (heap) que puede llevar a la ejecución remota de código.

Red Hat puntúa el fallo con 9,8 sobre 10 en la escala CVSS. Según indica, un atacante que pueda acceder al servidor no necesita autenticación y podría tomar el control total del proceso del servidor. Red Hat también afirma que una investigación pública ha demostrado un exploit fiable contra una configuración por defecto con mod_http2 activado, aunque no menciona dicha investigación. La empresa de seguridad Wiz indicó después que no había ningún exploit disponible y que no se habían notificado ataques. La vulnerabilidad no figura en el catálogo de vulnerabilidades explotadas de CISA, y ninguna fuente consultada informa de ataques.

La versión 2.4.71 también corrige otros dos fallos:

• CVE-2026-106023 (clasificado como importante): un fallo en mod_md que provoca una caída del proceso.
• CVE-2026-109163 (clasificado como bajo): una sobrescritura de un byte en la pila en mod_vhost_alias.

Quién está afectado

• Apache HTTP Server 2.4.55 a 2.4.70, pero solo cuando HTTP/2 está activado. HTTP/2 solo funciona cuando la directiva Protocols incluye h2 (HTTP/2 sobre TLS) o h2c (HTTP/2 sobre TCP sin cifrar). Esta directiva puede configurarse para todo el servidor o para un único host virtual.
• Los servidores que instalaron 2.4.67 para el fallo anterior de HTTP/2 CVE-2026-23918 siguen afectados. Esto se aplica a todas las versiones de 2.4.67 a 2.4.70.
• Compilaciones independientes del módulo (mod_h2 desde GitHub), versiones 2.0.8 a 2.0.42. Todavía no existe una versión corregida de mod_h2, y el repositorio del proyecto ha sido archivado.

Estos sistemas no están afectados:

• Versiones de Apache anteriores a 2.4.55.
• Servidores en los que ni h2 ni h2c están habilitados en ninguna directiva Protocols.
• Red Hat Enterprise Linux 6, 7 y 8, que no contienen el código vulnerable.

Estado de los paquetes de distribución, a 12 de noviembre de 2026:

• RHEL 9: corregido en mod_http2-2.0.26-7.el9_9.1 (RHSA-2026:98981).
• RHEL 10: corregido en mod_http2-2.0.29-5.el10_3.1 (RHSA-2026:98978).
• Versiones EUS y SAP de RHEL: las correcciones están disponibles en avisos separados. Red Hat clasifica el fallo como Importante en lugar de Crítico en RHEL 9 y 10, porque sus compilaciones dificultan mucho un ataque.
• Red Hat JBoss Core Services y Red Hat Hardened Images: figuran como afectados, sin corrección por ahora.
• Debian: la rama inestable (sid) está corregida con apache2 2.4.71-1. El rastreador de Debian indica que bookworm, trixie y forky son vulnerables, sin paquete corregido por ahora.
• Amazon Linux 2, Amazon Linux 2023 y Amazon Linux 2027 Preview: la corrección está pendiente.
• Ubuntu: todavía no se ha publicado ningún estado.

Los paneles de alojamiento y otros productos que incluyen su propia compilación de Apache están afectados si su compilación entra en este rango de versiones y HTTP/2 está activado. Para conocer su estado, consulte el aviso del proveedor.

Qué hacer ahora

1. Compruebe su versión de Apache con apachectl -v o httpd -v. Después, verifique si HTTP/2 está activado (consulte la sección siguiente).
2. Actualice.
   • Apache compilado por usted o del proyecto original: actualice a 2.4.71.
   • RHEL 9 y 10: instale las actualizaciones, por ejemplo con dnf update mod_http2.
   • Otras distribuciones: instale el paquete apache2 o httpd corregido en cuanto su distribución lo publique. Consulte los avisos de los proveedores enlazados más abajo.
3. Reinicie Apache por completo, por ejemplo con systemctl restart httpd o systemctl restart apache2. Un reinicio completo garantiza que se cargue el módulo actualizado. Después, confirme que sus sitios responden.
4. Si todavía no puede actualizar: el aviso de Apache no ofrece ninguna solución alternativa. Wiz recomienda eliminar h2 y h2c de todas las directivas Protocols, dejando Protocols http/1.1. Revise la configuración global del servidor y cada host virtual. Luego, pruebe la configuración con apachectl configtest y reinicie Apache. Los clientes volverán a HTTP/1.1. Esta es también la única protección hasta ahora para los servidores que usan las compilaciones independientes de mod_h2.
5. Revise sus otros servidores, incluidos los proxies inversos y los servidores que administra para clientes, si ejecutan Apache 2.4.55 o posterior con HTTP/2 activado.

Cómo comprobar si está afectado

• Versión: ejecute apachectl -v (o httpd -v). Las versiones de 2.4.55 a 2.4.70 están afectadas. En los paquetes de distribución, compare con las versiones corregidas indicadas arriba, porque las distribuciones usan sus propios números de versión.
• Módulo cargado: apachectl -M 2>/dev/null | grep http2 muestra si mod_http2 está cargado.
• HTTP/2 activado: ejecute grep -RniE '^\s*Protocols' /etc/httpd /etc/apache2 2>/dev/null y busque h2 o h2c. Incluya cualquier otro directorio que contenga archivos de configuración.
• Desde el exterior: curl -sI --http2 https://example.com -o /dev/null -w '%{http_version}\n' muestra 2 si el sitio responde por HTTP/2.

Si ninguno de sus servidores tiene h2 o h2c en una directiva Protocols, este fallo no les afecta. Aun así, instale la versión 2.4.71 o la actualización de su distribución durante el mantenimiento habitual, porque también corrige los otros dos fallos.

Fuentes

• https://nvd.nist.gov/vuln/detail/CVE-2026-119618
• https://httpd.apache.org/security/vulnerabilities_24.html