Apache corrigió con la versión 2.4.71 una vulnerabilidad crítica de ejecución remota de código en el módulo mod_http2. Afecta a Apache HTTP Server entre las versiones 2.4.55 y 2.4.70, pero el riesgo descrito requiere que HTTP/2 esté habilitado; también están afectadas las compilaciones independientes de mod_h2 de la 2.0.8 a la 2.0.42. Si administras un servidor web, comprueba ambas cosas antes de decidir los siguientes pasos.
Comprueba primero si tu servidor entra en el rango afectado
La falla, identificada como CVE-2026-119618, está en assign_headers() de mod_http2. Una condición de carrera puede corromper la memoria del servidor y permitir que un atacante sin autenticación ejecute código con los privilegios del proceso web. No basta con saber que el servidor usa Apache: hay que confirmar la versión y si HTTP/2 está activo.
El aviso del proyecto Apache fija el rango afectado en las versiones 2.4.55 a 2.4.70. INCIBE también incluye las versiones 2.0.8 a 2.0.42 del módulo independiente mod_h2. La versión 2.4.71 corrige esta falla y otros dos problemas de seguridad, uno en mod_md y otro en mod_vhost_alias.
| Instalación | Rango afectado | Acción indicada |
|---|---|---|
| Apache HTTP Server con mod_http2 | 2.4.55–2.4.70 | Actualizar a 2.4.71 o posterior |
| mod_h2 independiente | 2.0.8–2.0.42 | Instalar una actualización del proveedor que incluya la corrección |
La condición de HTTP/2 importa: la directiva Protocols puede habilitarlo como h2 sobre TLS o h2c sobre TCP sin cifrar. El proyecto Apache indica el rango de versiones; INCIBE recomienda actualizar a 2.4.71 o posterior y, para mod_h2 distribuido por separado, aplicar la actualización del proveedor.
Qué hacer, en orden
Identifica qué servidor atiende tus sitios. Comprueba si Apache HTTP Server forma parte de la infraestructura que administras o si lo gestiona tu proveedor de alojamiento. Si no tienes acceso al servidor o a su configuración, solicita al equipo responsable la versión instalada, si mod_http2 está habilitado y cuándo aplicará la corrección. Apache es el software que sirve páginas y otros contenidos web; no des por hecho que tu sitio lo usa sin confirmarlo.
Verifica la versión instalada. Compara la versión de Apache HTTP Server con el rango afectado: de 2.4.55 a 2.4.70, inclusive. Si administras el software como paquete de una distribución o servicio gestionado, confirma con su proveedor qué versión corregida incorpora; el número visible puede no describir por sí solo cómo se distribuye la corrección. Si usas mod_h2 por separado, comprueba también si su versión está entre 2.0.8 y 2.0.42.
Revisa si HTTP/2 está habilitado. Examina la configuración efectiva de Apache para localizar la directiva
Protocolsy los valoresh2oh2c. La configuración puede aplicarse al servidor completo o a un host virtual concreto, así que revisa ambos niveles y cada host virtual activo. Apache señala que HTTP/2 está desactivado por defecto en la configuración descrita, pero no presupongas que sigue así en tu instalación.Actualiza a Apache 2.4.71 o posterior. Es la medida recomendada por INCIBE para Apache HTTP Server. Si no puedes instalar directamente esa versión porque recibes Apache a través de un proveedor, pide una actualización que incluya la corrección de CVE-2026-119618 y verifica que se haya aplicado. En instalaciones con mod_h2 independiente, sigue la actualización que publique el proveedor de ese módulo.
Reduce el riesgo mientras esperas. Si no puedes actualizar de inmediato y HTTP/2 no es necesario, deshabilita temporalmente mod_http2 y proxy_http2, o retira la negociación de HTTP/2, para servir únicamente mediante HTTP/1.1. watchTowr resumió su recomendación así: “Patch now or drop h2 until you can”. No desactives HTTP/2 sin revisar antes qué sitios o servicios dependen de él.
Comprueba el resultado del cambio. Después de actualizar o retirar HTTP/2, vuelve a revisar la versión y la configuración efectiva, incluidos los hosts virtuales. Si el cambio lo hizo un proveedor, pide confirmación de que la instancia concreta quedó corregida o de que HTTP/2 está deshabilitado. La protección depende de la instalación que atiende las solicitudes, no solo de que una actualización esté disponible.
Patch now or drop h2 until you can
— Investigadores de watchTowr
Errores que conviene evitar
No confundas una versión vulnerable con exposición confirmada. El fallo afecta al rango indicado, pero la condición descrita requiere HTTP/2 habilitado. A la inversa, que no hayas activado HTTP/2 conscientemente no demuestra que esté apagado: revisa la directiva Protocols y la configuración de cada host virtual.
No te fíes solo de una cifra agregada. Wiz encontró recursos vulnerables en el 64 % de los entornos cloud analizados y aproximadamente la mitad de esos recursos era accesible públicamente. Ese dato no determina si tu servidor está expuesto: no tiene en cuenta la configuración de HTTP/2 de cada instalación.
No retrases la corrección por falta de ataques conocidos. Wiz dijo que no tenía constancia de exploits públicos ni de ataques dirigidos a esta falla, pero Apache indicó que una investigación pública había demostrado un exploit fiable contra un servidor con mod_http2 activo en su configuración predeterminada. La prioridad práctica es actualizar; deshabilitar HTTP/2 es una medida temporal cuando no puedas hacerlo de inmediato.
No olvides los módulos adicionales. La versión 2.4.71 también corrige CVE-2026-106023 en mod_md y CVE-2026-109163 en mod_vhost_alias. INCIBE señala que esos módulos tienen rangos afectados propios; mantener Apache en una versión corregida atiende también esos problemas descritos en el aviso.
La corrección de Apache HTTP Server se publicó el 11 de noviembre de 2026. Si tu instalación sigue en el rango afectado, la comprobación pendiente es concreta: confirmar si HTTP/2 está activo y aplicar la actualización correspondiente o deshabilitarlo temporalmente.
Fuentes: Hardware Upgrade, BleepingComputer, incibe.es, The Apache HTTP Server Project, Red Hat
