Grave fallo de HTTP/2 en Apache permite ejecución remota de código en las versiones 2.4.55 a 2.4.70

Se ha identificado una grave vulnerabilidad de seguridad en Apache HTTP Server, concretamente en su módulo HTTP/2, mod_http2. Registrada como CVE-2026-119618, esta falla permite a atacantes no autenticados ejecutar código arbitrario en los servidores afectados. El problema impacta a las versiones 2.4.55 hasta la 2.4.70 y fue corregido con el lanzamiento de la versión 2.4.71 ayer.

Qué ocurrió

La vulnerabilidad reside en el módulo mod_http2, que gestiona el tráfico HTTP/2 del servidor web Apache. Según Red Hat, un atacante que pueda alcanzar el servidor no necesita autenticarse para explotar esta falla. Una explotación exitosa podría otorgar al atacante control total sobre el proceso del servidor. Red Hat califica la severidad en 9.8 sobre 10 en la escala CVSS, lo que indica un nivel de amenaza crítico. La evaluación del proveedor señala que investigaciones públicas han demostrado un exploit fiable contra servidores que funcionan con configuraciones predeterminadas donde mod_http2 está habilitado, aunque no se vinculó ningún documento de investigación específico.

Existen informes contradictorios respecto a la explotación activa. Mientras que Red Hat destacó la existencia de un método de exploit fiable, la firma de seguridad Wiz declaró más tarde ese mismo día que no había código de exploit público disponible y que no se había observado explotación en el mundo real. Esta discrepancia sugiere que, aunque el riesgo teórico es extremo y existen métodos de prueba de concepto, los ataques automatizados generalizados podrían no estar aún en marcha. Los administradores deben tratar la amenaza como inminente dada la alta puntuación de severidad y la facilidad de acceso requerida para la explotación.

La corrección está incluida en Apache HTTP Server versión 2.4.71, lanzada ayer. Esta actualización también resuelve un fallo de bloqueo (crash) en el módulo mod_md, clasificado como importante, y una sobrescritura de memoria de pila de un byte de baja severidad en mod_vhost_alias. Para quienes utilizan compilaciones independientes del módulo desde GitHub bajo el nombre mod_h2, las versiones 2.0.8 hasta la 2.0.42 están afectadas. No se ha publicado ninguna versión corregida para estas compilaciones independientes, y el repositorio ha sido de solo lectura desde el 9 de junio.

Detalles clave

• Identificador CVE: CVE-2026-119618 afecta a Apache HTTP Server versiones 2.4.55 hasta la 2.4.70.
• Versión corregida: Apache HTTP Server 2.4.71 soluciona el problema; mod_h2 independiente permanece sin corregir.
• Vector de ataque: Atacantes remotos no autenticados pueden ejecutar código si HTTP/2 está habilitado mediante los protocolos h2 o h2c.
• Estado de Red Hat: Parches publicados para RHEL 9 y 10; RHEL 8 y anteriores no están afectados debido a una arquitectura de módulo diferente.
• Estado de Debian: Debian unstable (sid) está corregido; Debian bookworm, trixie y forky siguen vulnerables sin parche listado.
• Solución alternativa: Si no es posible aplicar el parche inmediatamente, elimine h2 y h2c de la directiva Protocols para deshabilitar HTTP/2.

Contexto

HTTP/2 es una revisión mayor del protocolo de red HTTP utilizado por la World Wide Web. Introduce mejoras como multiplexación, compresión de cabeceras y push del servidor para mejorar el rendimiento. En Apache, esta funcionalidad la proporciona el módulo mod_http2. Los administradores lo habilitan usando la directiva Protocols en sus archivos de configuración, especificando h2 para HTTP/2 sobre TLS o h2c para HTTP/2 en texto plano. Dado que este módulo procesa complejos frames binarios de las solicitudes de los clientes, cualquier error de gestión de memoria dentro de él puede conducir a graves vulnerabilidades como desbordamientos de búfer o errores de uso tras liberación (use-after-free), que los atacantes pueden aprovechar para ejecutar código malicioso.

Las distribuciones Linux suelen empaquetar Apache de forma diferente al proyecto upstream. Por ejemplo, Red Hat Enterprise Linux (RHEL) modifica el módulo mod_http2 para asignar a cada flujo HTTP/2 su propio asignador de memoria. Este cambio arquitectónico hace que explotar fallos de corrupción de memoria sea significativamente más difícil, razón por la cual Red Hat califica el problema como Importante en lugar de Crítico para RHEL 9 y 10. Otras distribuciones como Debian y Ubuntu pueden incluir código más cercano al upstream, dejándolas más expuestas a la severidad bruta de la falla.

Por qué importa

Para equipos que gestionan infraestructuras autoalojadas, esta vulnerabilidad representa una amenaza directa para la integridad del servidor. Dado que el ataque no requiere autenticación, cualquier servidor Apache accesible públicamente con HTTP/2 habilitado es un objetivo potencial. La compromisión podría derivar en robo de datos, interrupción del servicio o el uso del servidor como punto de pivote para otros ataques de red. La alta puntuación CVSS refleja la facilidad de explotación y el impacto total en la confidencialidad, integridad y disponibilidad.

La situación se complica por el estado variable de los parches entre diferentes sistemas operativos. Mientras que los usuarios de Apache upstream pueden simplemente actualizar a la 2.4.71, los usuarios de ramas estables de Debian o Amazon Linux pueden encontrarse esperando parches específicos del proveedor. Además, aquellos que usan la biblioteca independiente archivada mod_h2 no tienen una ruta oficial de parcheo, viéndose obligados a depender de soluciones alternativas de configuración que deshabilitan HTTP/2 por completo, lo que podría afectar al rendimiento para clientes modernos.

Qué puedes hacer

• Comprueba tu versión: Identifica si tu servidor Apache funciona entre las versiones 2.4.55 y 2.4.70, o si usas mod_h2 2.0.8–2.0.42.
• Verifica el estado de HTTP/2: Revisa tu configuración buscando la directiva Protocols. Si h2 o h2c están presentes, HTTP/2 está activo.
• Aplica parches: Actualiza a Apache 2.4.71 inmediatamente si usas releases upstream. Para usuarios de RHEL, aplica los paquetes específicos de mod_http2 listados en los recientes avisos de seguridad.
• Implementa la solución alternativa: Si no puedes parchear inmediatamente, edita tu configuración de Apache para eliminar h2 y h2c de la directiva Protocols, deshabilitando efectivamente HTTP/2 hasta que se aplique un parche.
• Monitorea los rastreadores del proveedor: Mantén la atención en los rastreadores de seguridad de Debian, Ubuntu y Amazon Linux para futuros parches, ya que algunos actualmente no listan ninguna corrección.
• Revisa módulos independientes: Si utilizas el módulo archivado mod_h2 de GitHub, planifica migrar al paquete principal de Apache o mantener una deshabilitación estricta de HTTP/2.