Una explicación de una vulnerabilidad en mod_http2 de Apache HTTP Server que puede llevar a la ejecución remota de código (RCE). Cubre qué ocurre, quién está afectado y cómo responder, desde el punto de vista del defensor y sin pasos de ataque.
- CVE
- CVE-2026-119618 (Apache HTTP Server: mod_http2: heap corruption and RCE in assign_headers)
- Gravedad
- Calificación de Apache: crítica (su nivel más alto). Sin puntuación CVSS en el aviso de Apache ni en el registro de CVE.org (Red Hat asigna su propia puntuación de 9.8)
- Tipo
- Uso concurrente de un recurso compartido sin la sincronización adecuada (CWE-362); corrupción del heap que lleva a RCE
- Afectado
- Apache HTTP Server de la 2.4.55 a la 2.4.70. mod_h2 en GitHub: de la 2.0.8 a la 2.0.42
- Corrección
- Apache HTTP Server 2.4.71 (publicada el 11 de noviembre de 2026)
- Corregidos a la vez
- CVE-2026-106023 (mod_md, importante), CVE-2026-109163 (mod_vhost_alias, bajo)
- Explotación
- No se informa de explotación real (Red Hat dice que una investigación publicada demostró un ataque). No figura en la edición del 10 de noviembre de CISA KEV
- Medida alternativa
- Ninguna enumerada en el aviso de Apache
La cadena de versión por sí sola no basta
Debian, Red Hat y otros a veces incorporan una corrección sin cambiar el número de versión. apache2 -v o httpd -v pueden parecer antiguos en un sistema parcheado. A la inversa, no se fíe de la cadena de versión para sentirse seguro: compruebe el registro de cambios del paquete o el aviso de la distribución.
Qué tipo de vulnerabilidad es
El aviso de Apache dice que en assign_headers() de mod_http2 se usan recursos compartidos de forma concurrente sin la sincronización adecuada, lo que provoca una corrupción del heap y puede llevar a la ejecución remota de código. Está clasificada como CWE-362.
- El aviso de Apache no da condiciones detalladas de explotación, y este sitio no las especula.
- Se encontró mediante dos informes distintos. El desarrollador de una herramienta de análisis de código basada en IA lo notificó al equipo de seguridad de Apache el 26 de octubre de 2026, y el equipo de investigación de seguridad de un proveedor de nube el 3 de noviembre.
- Apache integró la corrección en la rama 2.4 el 11 de noviembre y publicó la 2.4.71 el mismo día.
- El mod_h2 independiente distribuido en GitHub también está afectado (de la 2.0.8 a la 2.0.42). Si lo instaló por separado del mod_http2 incluido con Apache, compruebe también eso.
Alcance afectado
| Elemento | Detalle |
|---|---|
| Producto | Apache HTTP Server (mod_http2) |
| Versiones afectadas | De la 2.4.55 a la 2.4.70 |
| Versión corregida | 2.4.71 |
| mod_h2 independiente (GitHub) | Afectadas de la 2.0.8 a la 2.0.42 |
| Gravedad | Apache: crítica (sin CVSS). Red Hat asigna su propia puntuación de 9.8 |
| Medidas alternativas / mitigaciones | Ninguna enumerada en el aviso de Apache |
- La 2.4.54 y las anteriores quedan fuera del rango del aviso. Las versiones más antiguas acumulan otras vulnerabilidades, así que considere actualizar de todos modos.
- El aviso no dice que solo estén afectadas las configuraciones con HTTP/2 activado. La información de la sección siguiente es de Red Hat.
Los otros dos problemas corregidos en la misma 2.4.71
| CVE | Descripción | Calificación de Apache | Versiones afectadas |
|---|---|---|---|
| CVE-2026-106023 | mod_md: una desreferencia de puntero NULL hace caer un proceso hijo | importante | de la 2.4.30 a la 2.4.70 |
| CVE-2026-109163 | mod_vhost_alias: una sobrescritura de 1 byte en el búfer de la pila (un problema que quedó tras la corrección de CVE-2026-63292) | baja | 2.4.69 y 2.4.70 |
Actualizar a la 2.4.71 corrige los tres.
Estado en las distribuciones (a fecha del 13 de noviembre de 2026)
| Proveedor | Estado |
|---|---|
| Debian | El rastreador de seguridad indica bookworm (12) como corregido en la 2.4.71-1 |
| Ubuntu | Todas las versiones están en «Needs evaluation»; sin versión corregida. Prioridad: High |
| Red Hat | RHEL 9 y 10 están afectados, calificación Important. RHEL 8 y anteriores no están afectados. Para el procedimiento, véase el boletín de seguridad de Red Hat RHSB-2026-017 |
- Red Hat explica que RHEL 9 y 10 se califican de Important y no de Critical porque cada flujo HTTP/2 tiene su propio asignador de memoria (asignar cada flujo desde un asignador separado hace más difícil la explotación, según Red Hat).
- Esta tabla es una comprobación fechada y cambiará. Verifique lo más reciente en la página de cada proveedor para su entorno.
Cómo comprobar si le afecta
Compruebe la versión de Apache
Ejecute apache2 -v (familia Debian) o httpd -v (familia RHEL). De la 2.4.55 a la 2.4.70 pueden estar afectadas. Un paquete de distribución puede llevar la corrección con el mismo número de versión, así que compare el registro de cambios del paquete con la información de seguridad del proveedor.
Compruebe si HTTP/2 está activado
Busque Protocols h2 o h2c en la configuración, y si el módulo http2 está cargado (salida de apachectl -M). Según Red Hat, los servidores con HTTP/2 activado están afectados y los servidores solo HTTP/1.1 no son vulnerables. Eso es lo que dice Red Hat; el aviso de Apache no hace esa distinción.
Encuentre todos los lugares donde se ejecuta Apache
Además de los servidores web, busque Apache integrado en productos (consolas de administración, appliances). Para saber cómo mantener una lista, véase la lista de comprobación del inventario de activos.
Qué hacer hoy
Actualice a la 2.4.71 o al paquete corregido de su distribución (máxima prioridad)
Para un Apache compilado por usted, pase a la 2.4.71. Para instalaciones con paquetes, consulte la página del proveedor para ver si hay un paquete corregido y actualice. Tras actualizar, reinicie o recargue Apache, y ejecute antes apachectl configtest para detectar problemas de configuración.
Donde todavía no haya corrección, decida si necesita HTTP/2
El aviso de Apache no tiene medida alternativa. Como añadido propio de este sitio, donde hay pocos motivos para usar HTTP/2, una opción es quitar h2 y h2c del ajuste Protocols y usar solo HTTP/1.1. No es una medida citada en el aviso y puede afectar al rendimiento y a los clientes, así que haga pruebas antes de decidir. Puede revertirlo cuando pueda actualizar.
Trace qué hay delante de Apache
Si un balanceador de carga o una CDN termina HTTP/2 y habla HTTP/1.1 con el backend, puede que el Apache del backend no hable HTTP/2 en absoluto. Compruebe qué salto habla HTTP/2 en su configuración.
Busque cualquier cosa inusual
No se informa de explotación real, pero compruebe que no ocurrió nada raro antes de la actualización. Busque procesos hijo de Apache que caigan repetidamente y archivos o procesos desconocidos. Véase cómo comprobar si un sitio web o servidor ha sido hackeado.
Estado de la explotación
- El aviso de Apache no menciona explotación real.
- No figura en la edición del 10 de noviembre del catálogo KEV de CISA.
- El registro de CVE.org no lleva puntuación CVSS. La única gravedad es la calificación de Apache (crítica).
- Los informes llegaron el 26 de octubre y el 3 de noviembre, y se publicó el 11 de noviembre. No se pudo confirmar con información pública si se explotó antes de la publicación.
- Red Hat dice que una investigación publicada demostró un ataque creíble contra servidores con HTTP/2 activado en la configuración predeterminada (no es un informe de explotación real).
- No se pudo confirmar información pública sobre la escala de ataques reales ni sobre ningún actor.
Fuentes
- Apache HTTP Server Project — Apache HTTP Server 2.4 vulnerabilities (las tres correcciones de la 2.4.71, versiones afectadas, fechas de informes y de corrección)
- CVE.org — CVE-2026-119618 (publicado el 11 de noviembre de 2026; CWE-362, gravedad crítica, sin CVSS)
- Debian — Debian Security Tracker CVE-2026-119618 (versiones corregidas para bookworm y trixie)
- Ubuntu — CVE-2026-119618 (necesita evaluación, prioridad High)
- Red Hat — CVE-2026-119618 (RHEL 9 y 10 afectados, Important)
- CISA KEV — Known Exploited Vulnerabilities Catalog (no figura en la edición del 10 de noviembre del catálogo)
Desactivar HTTP/2 se enumera aquí por este sitio como medida general; no es una medida alternativa indicada en el aviso de Apache. Última verificación: 13 de noviembre de 2026.
Lee a continuación
- Práctica: La guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Decidir: Priorizar con CVSS, EPSS y KEV
- Comprobar una intrusión: Cómo comprobar si un sitio web o servidor ha sido hackeado
- Términos: Qué es RCE / ¿Qué es CVSS?