Apache HTTP Server corrige una vulnerabilidad crítica de ejecución remota de código en HTTP/2.

Una vulnerabilidad crítica en el módulo HTTP/2 del servidor HTTP Apache podría ser explotada por un atacante no autenticado para obtener ejecución remota de código (RCE).

La Fundación Apache Software ha solucionado el problema, ahora identificado como CVE-2026-119618, pero un número significativo de servidores siguen siendo vulnerables y accesibles a través de internet.

Descubierta por el escáner de código abierto de Anthropic y los equipos de investigación de vulnerabilidades de Google Cloud, la vulnerabilidad consiste en una condición de carrera en el módulo mod_http2 que puede corromper la memoria dinámica.

Un atacante que la explote con éxito podría ejecutar código con los privilegios del proceso del servidor web en las versiones 2.4.55 a 2.4.70 del servidor HTTP, y en la versión 2.0.8 a 2.0.42 del módulo mod_h2 independiente.

Apache describe el problema como una vulnerabilidad de ejecución concurrente mediante recursos compartidos con sincronización incorrecta en la función assign_headers() del módulo mod_http2 del servidor HTTP Apache, que puede provocar RCE.

Apache HTTP Server es un software libre y de código abierto que gestiona las solicitudes de los navegadores web y sirve páginas, imágenes y otros contenidos web. Es una herramienta muy utilizada, que se estima que da soporte a aproximadamente uno de cada cinco sitios web.

Según datos de telemetría de la empresa de seguridad en la nube Wiz, el 64 % de los entornos en la nube presentan recursos vulnerables, y aproximadamente la mitad de ellos tienen instancias expuestas públicamente.

Sin embargo, estas cifras no tienen en cuenta la configuración del servidor, que requiere que HTTP/2 esté habilitado (por defecto está desactivado).

Investigadores de la empresa de ciberseguridad watchTowr confirmaron esta situación y recomiendan a los técnicos "actualizar la vulnerabilidad de inmediato o suspender HTTP/2 hasta que sea posible".

"Debido a una sincronización incorrecta al ejecutar hilos concurrentes que comparten recursos, un atacante puede provocar una corrupción de memoria".

"Esta corrupción de memoria puede, en última instancia, aprovecharse para lograr la ejecución remota de código (RCE) en el servidor de alojamiento, lo que permite a actores maliciosos no autorizados ejecutar comandos arbitrarios con los privilegios del proceso del servidor web".

Wiz considera que la gravedad de la vulnerabilidad es crítica, aunque no se dispone de una puntuación oficial. La empresa afirma que actualmente desconoce la existencia de ataques o vulnerabilidades públicas dirigidas a este fallo, pero que esto podría cambiar pronto.