El 11 de noviembre el Apache Software Foundation publicó Apache HTTP Server 2.4.71, que corrige tres vulnerabilidades; la más grave es CVE-2026-119618, calificada como critical por Apache: una condición de carrera en la función assign_headers() del módulo mod_http2 (CWE-362) que corrompe el montículo y permite ejecución remota de código sin autenticación según el aviso de Apache. Afecta a las versiones 2.4.55 hasta 2.4.70 inclusive y al módulo independiente mod_h2 2.0.8–2.0.42, cuyo repositorio está archivado desde junio de 2026 y no recibirá parche oficial confirmado por Rescana.
La condición de carrera en assign_headers permite RCE sin autenticación
El fallo ocurre cuando peticiones HTTP/2 concurrentes acceden a recursos compartidos sin sincronización adecuada. Solo los servidores con HTTP/2 activo —directiva Protocols h2 o h2c— alcanzan el código vulnerable; configuraciones solo HTTP/1.1 no están expuestas lo aclara SOCPrime. El reporte llegó por dos vías independientes: el escáner OSS de Anthropic (26 de octubre, identificador ANT-2026-MAPKT6MZ) y Anthony Weems con Simon Scannell de Google Cloud Vulnerability Research (3 de noviembre). Apache cerró el fix en el commit 824beab9b9424d6cfb29595248fdbf6c3dddeab1 y liberó 2.4.71 once días después. En la misma versión se corrigen CVE-2026-106023 (desreferencia nula en mod_md, severidad important) y CVE-2026-109163 (sobrescritura de pila en mod_vhost_alias, severidad low).
mod_h2 independiente queda sin parche oficial y obliga a migrar
El módulo mod_h2 mantenido en GitHub (usado en builds personalizados y contenedores) no tiene versión corregida publicada. La única vía soportada es migrar al mod_http2 integrado en httpd 2.4.71 o aplicar el parche retroportado manualmente en tu fork. Si mantienes imágenes base o contenedores que incrustan mod_h2, audítalos ya: no habrá parche retroportado oficial.
Distros y proveedores mueven a ritmos distintos
Debian unstable (sid) ya incluye apache2 2.4.71-1; bookworm, trixie, forky y Ubuntu seguían sin paquete al 11 de noviembre. Red Hat publicó actualizaciones para RHEL 9 (mod_http2-2.0.26-7.el9_9.1) y RHEL 10 (2.0.29-5.el10_3.1), pero califica la severidad como Important argumentando que su allocator por flujo eleva la complejidad de explotación; RHEL 8 y anteriores no contienen el código vulnerable detalla Rescana. Verifica el calendario de tu proveedor antes de asumir cobertura.
Qué hacer hoy: actualizar, deshabilitar HTTP/2 o mitigar mientras llega el paquete
La prioridad es actualizar a 2.4.71 o al paquete de seguridad de tu SO en cuanto esté disponible, empezando por los frontales a internet con HTTP/2 habilitado. Valida compatibilidad de módulos de terceros y configuración en entorno de pruebas antes de subir a producción. Si no puedes actualizar ya, deshabilita HTTP/2 eliminando h2 y h2c de la directiva Protocols (global y en todos los VirtualHosts) y fuerza Protocols http/1.1; es endurecimiento defensivo, no fix, y pierdes multiplexación y push recomienda SOCPrime. Haz inventario con httpd -M | grep http2 y revisa Protocols en httpd.conf y todos los includes. Monitoriza logs tras el parcheo: caídas de workers con SIGSEGV en assign_headers o reinicios inesperados pueden indicar intentos de explotación fallidos apunta Apache. Finalmente, pregunta a tus proveedores SaaS, PaaS o CDN que usan Apache como frontal si ya aplicaron 2.4.71 o parche retroportado equivalente.
Ficha estructurada para consulta y agentes de IA
{
"format": "rafael-fuentes-article/1.0",
"language": "es",
"title": "Apache HTTP Server 2.4.71 corrige RCE crítico en mod_http2 (CVE-2026-119618)",
"summary": "Apache publica la versión 2.4.71 que soluciona una condición de carrera en mod_http2 que permite ejecución remota de código sin autenticación en servidores con HTTP/2 activo.",
"author": "Rafael Fuentes",
"publicationDate": "2026-11-12T20:01:16.040+01:00",
"eventDate": "2026-11-11",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-12-pm-es/",
"translation": {
"language": "en",
"url": "https://falifuentes.com/rafael-fuentes-2026-11-12-pm-en/"
},
"topics": [
"Ciberseguridad",
"Español",
"Noticias de Ciberseguridad"
],
"sources": [
"https://www.rescana.com/post/apache-httpd-mod-http2-cve-2026-119618-patch-now",
"https://socprime.com/blog/cve-2026-119618-critical-apache-http-2-flaw-enables-remote-code-execution"
]
}