Se ha detectado una falla crítica (CVE-2026-119618) en el módulo HTTP/2 de Apache HTTP Server que permite a atacantes remotos ejecutar código y tomar control del servidor. Afecta a las versiones 2.4.55 hasta 2.4.70, siendo la versión 2.4.71 la solución oficial. Se recomienda actualizar inmediatamente o deshabilitar HTTP/2 eliminando h2 y h2c de la directiva Protocols.







Un fallo crítico en el módulo HTTP/2 del servidor Apache HTTP, mod_http2, puede permitir que un atacante remoto ejecute código en el servidor. Identificado como CVE-2026-119618, afecta a las versiones 2.4.55 hasta la 2.4.70 y ha sido corregido en la versión 2.4.71, lanzada ayer.

Según Red Hat, que distribuye el servidor como parte de Red Hat Enterprise Linux, solo están afectados los servidores que tienen habilitado HTTP/2.

Un atacante que pueda alcanzar el servidor no necesita autenticación para explotar el fallo y podría tomar el control total del proceso del servidor, afirma el proveedor de Linux. Califica el fallo con un 9.8 sobre 10 en la escala CVSS.

La evaluación del proveedor, publicada ayer, también indica que "la investigación pública ha demostrado un exploit fiable" contra un servidor en su configuración predeterminada con mod_http2 habilitado. No menciona ni enlaza dicha investigación. La empresa de seguridad Wiz afirmó más tarde ese mismo día que no había ningún exploit disponible y que no se había reportado ninguna explotación real.

HTTP/2 funciona solo donde la directiva Protocols lo activa, como explica la documentación del módulo [https://httpd.apache.org/docs/2.4/mod/mod_http2.html]. La directiva utiliza h2 para HTTP/2 sobre TLS y h2c para HTTP/2 sobre TCP plano. Puede configurarse para todo el servidor o para un único host virtual, por lo que debes revisar la configuración global del servidor y cada host virtual.

Las compilaciones independientes del módulo, publicadas en GitHub como mod_h2, están afectadas desde la versión 2.0.8 hasta la 2.0.42.

Si utilizas las versiones propias del proyecto Apache HTTP Server, debes actualizar a la versión 2.4.71, la versión corregida mencionada en su aviso de seguridad [https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2026-119618]. Esa versión también corrige un cierre inesperado en mod_md, calificado como importante, y una sobreescritura de un byte de la memoria de pila en mod_vhost_alias, calificada como baja.

Las distribuciones de la tabla a continuación incluyen sus propias compilaciones del servidor, con sus propios números de versión de paquete. En Red Hat Enterprise Linux 9, por ejemplo, la corrección llega como mod_http2-2.0.26-7.el9_9.1.

Red Hat lanzó ayer correcciones para Red Hat Enterprise Linux 9 y 10, y califica el fallo como "Importante" en esas versiones en lugar de "Crítico". Sus paquetes mod_http2 asignan a cada flujo HTTP/2 su propio asignador de memoria, lo que hace que un ataque sea mucho más difícil, según la evaluación de severidad del proveedor [https://access.redhat.com/security/cve/cve-2026-119618]. Red Hat Enterprise Linux 8 y versiones anteriores no contienen el código vulnerable.

Platform	Status	Fixed package
Apache HTTP Server project releases	Fixed	2.4.71
Red Hat Enterprise Linux 9	Fixed (RHSA-2026:98981)	mod_http2-2.0.26-7.el9_9.1
Red Hat Enterprise Linux 10	Fixed (RHSA-2026:98978)	mod_http2-2.0.29-5.el10_3.1
Red Hat Enterprise Linux 9.4 Update Services for SAP Solutions, and 9.6, 9.8, 10.0 and 10.2 Extended Update Support	Fixed (RHSA-2026:98968, RHSA-2026:98954, RHSA-2026:98982, RHSA-2026:98953 and RHSA-2026:98979)	See each advisory
Red Hat Enterprise Linux 6, 7 and 8	Not affected	None needed
Red Hat JBoss Core Services and Red Hat Hardened Images	Affected, no fix listed	None listed
Debian unstable (sid)	Fixed	apache2 2.4.71-1
Debian bookworm, trixie and forky	Vulnerable	None listed
Amazon Linux 2 (Core), Amazon Linux 2023 and Amazon Linux 2027 Preview	Pending fix	None listed
Ubuntu	No status page	None listed

Las filas de Debian provienen del rastreador de seguridad de Debian [https://security-tracker.debian.org/tracker/CVE-2026-119618], y la fila de Amazon del rastreador de Amazon Linux [https://explore.alas.aws.amazon.com/CVE-2026-119618.html]. El rastreador de CVE de Ubuntu no tenía página para el fallo cuando se comprobó hoy.

El aviso de Apache HTTP Server no ofrece una solución alternativa. En su análisis de vulnerabilidad [https://www.wiz.io/blog/cve-2026-119618-rce-apache-http-server-vulnerability], Wiz aconseja a los administradores que aún no puedan actualizar que eliminen h2 y h2c de la directiva Protocols, dejando únicamente Protocols http/1.1.

El proyecto independiente mod_h2 no ha publicado ninguna versión corregida hasta ahora. Su lista de versiones [https://github.com/icing/mod_h2/releases] en GitHub termina en la 2.0.42, la última versión afectada, y su repositorio ha estado en modo lectura desde que fue archivado el 9 de junio. El cambio de Protocols mencionado anteriormente también se aplica a los servidores que utilizan esas compilaciones.

El fallo fue reportado el 26 de octubre por OSS Scanner de Anthropic, un servicio de escaneo gratuito para proyectos de código abierto que utiliza los modelos de IA de la empresa. Anthony Weems y Simon Scannell de Google Cloud Vulnerability Research lo reportaron la semana pasada.

Un fallo anterior de http/2

Un fallo anterior de HTTP/2, CVE-2026-23918, fue corregido en la versión 2.4.67, lanzada el 4 de mayo. Los servidores actualizados a esa versión, o a cualquier versión posterior hasta la 2.4.70, siguen ejecutando una versión que se ve afectada por el nuevo fallo.

Fuente:
THN