Una condición de carrera en el módulo HTTP/2 de Apache HTTP Server proporciona a un atacante remoto no autenticado una vía para ejecutar código en los servidores afectados. La vulnerabilidad, identificada como CVE-2026-119618, afecta al módulo mod_http2 en las versiones 2.4.55 hasta 2.4.70.

Según LavX News, la falla permite a un atacante remoto no autenticado corromper la memoria heap en Apache HTTP Server a través de un error en el módulo HTTP/2. Esa corrupción puede provocar la ejecución de código arbitrario con los privilegios del proceso del servidor web.

No existe un exploit público y no hay informes que muestren su explotación en la naturaleza.

Versiones afectadas y parcheadas

Exposición en entornos de nube

Una instancia de Apache comprometida puede proporcionar a un atacante un punto de apoyo dentro de cargas de trabajo contenerizadas o virtualizadas. Desde allí, el atacante puede moverse a microservicios adyacentes o acceder a los puntos finales de metadatos de la nube.

Los datos de investigación muestran la escala de la exposición: el 64% de los entornos de nube contienen recursos vulnerables a CVE-2026-119618, y el 51% de los entornos de nube ejecutan instancias expuestas públicamente. Estas cifras no tienen en cuenta los detalles de configuración.

Pasos para los equipos de seguridad

Actualizar los despliegues. Actualice las instalaciones de Apache HTTP Server a la versión 2.4.71 o posterior. Los equipos que gestionen compilaciones independientes de mod_h2 desde GitHub deben actualizar el módulo a una versión posterior a 2.0.42.

Desactivar HTTP/2 como medida temporal. Si los equipos no pueden aplicar el parche, pueden eliminar el vector de ataque restringiendo los servidores a HTTP/1.1. Edite el archivo de configuración (como httpd.conf) para eliminar las referencias a h2 y h2c:

Restringir protocolos a HTTP/1.1

Protocols http/1.1

Después de realizar este cambio, reinicie el servidor y confirme que los clientes retrocedan a HTTP/1.1. Los equipos deben tratar este paso como una medida provisional y programar la actualización a una versión parcheada.

Fuente: Critical RCE Vulnerability in Apache HTTP Server: Everything You Need To Know | Wiz Blog, por Merav Bar, wiz.io, 11 de noviembre de 2026

---

Fuentes (en inglés)

• gbhackers.com: Critical Apache Airflow Flaw CVE-2026-68982 Enables Unauthenticated Remote Code Execution
• news.lavx.hu: Race condition in Apache HTTP Server HTTP/2 module exposes servers to remote code execution | LavX News

Traducción con IA del artículo original en inglés, revisada automáticamente para que diga lo mismo que el original. Las fuentes fueron verificadas en inglés.