Falla crítica en Apache HTTP Server: con HTTP/2 activo permite ejecutar código sin autenticación

0 0 votos

Valora la Publicación

Apache HTTP Server publicó el 11 de noviembre la versión 2.4.71, que corrige una vulnerabilidad crítica en su módulo de HTTP/2: CVE-2026-119618. En servidores con HTTP/2 habilitado, un atacante remoto y sin autenticación podría ejecutar código en el servidor.

Afecta a las versiones 2.4.55 a 2.4.70. Red Hat le asigna un CVSS de 9.8 sobre 10. Hasta el 12 de noviembre no había ataques reportados, pero Red Hat indica que hay investigación pública que demostró un exploit confiable contra la configuración por defecto con HTTP/2 activo.

Qué es mod_http2 y dónde está la falla

Apache HTTP Server (httpd) es el servidor web que recibe los pedidos de los navegadores y devuelve las páginas. Según W3Techs, lo usa el 20,9% de los sitios cuyo servidor se puede identificar.

HTTP/2 es la versión moderna del protocolo con el que el navegador y el servidor se hablan: manda varios pedidos en paralelo por una misma conexión. En Apache lo implementa el módulo mod_http2, que se activa con la directiva Protocols (los valores h2, para HTTPS, y h2c, sin cifrar).

Según el aviso de Apache, la falla está en la función assign_headers(): dos hilos de ejecución acceden a la misma memoria sin la sincronización correcta. Eso corrompe la memoria interna del servidor (el heap) y, armando bien los pedidos, puede terminar en ejecución remota de código.

Red Hat lo explica así en su ficha de la vulnerabilidad: un hilo modifica memoria que pertenece a otro. El vector es por red, sin credenciales y sin que nadie haga clic.

Quién la encontró

Apache acredita el reporte a dos equipos por separado: el OSS Scanner de Anthropic, el escáner de código abierto basado en IA de esa empresa, que la informó el 26 de octubre, y Anthony Weems y Simon Scannell, de Google Cloud Vulnerability Research, que la reportaron el 3 de noviembre.

No es la primera falla grave en mod_http2 este año: la CVE-2026-23918 se había corregido en la 2.4.67. Los servidores que actualizaron entonces, de la 2.4.67 a la 2.4.70, siguen afectados por esta.

Qué versiones están afectadas

Apache HTTP Server 2.4.55 a 2.4.70, con HTTP/2 habilitado (h2 o h2c en Protocols).
El módulo mod_h2 compilado aparte desde GitHub, versiones 2.0.8 a 2.0.42. Ese proyecto no tenía versión corregida al momento del aviso.
Los servidores que solo hablan HTTP/1.1 no están afectados.

La 2.4.71 corrige además otras dos fallas: CVE-2026-106023, importante, que hace caer un proceso hijo en mod_md (el módulo que gestiona certificados), y CVE-2026-109163, baja, en mod_vhost_alias.

Qué paquetes ya están corregidos

Quien usa Apache desde los paquetes de su distribución depende de que esa distribución publique el arreglo. Al 12 de noviembre, según la cobertura de The Hacker News:

RHEL 9 y 10: corregidos (mod_http2-2.0.26-7.el9_9.1 y mod_http2-2.0.29-5.el10_3.1). Red Hat los califica como importantes y no críticos, porque cada stream de HTTP/2 usa su propio asignador de memoria y eso dificulta el ataque.
RHEL 6, 7 y 8: no afectados.
Debian bookworm, trixie y forky: vulnerables y sin paquete corregido todavía
sid ya tiene apache2 2.4.71-1.
Amazon Linux: arreglo pendiente.
Ubuntu: sin estado publicado al momento de la cobertura.

Qué hacer

Ver la versión: apachectl -v (o httpd -v).
Ver si HTTP/2 está cargado: apachectl -M | grep http2, y buscar h2 o h2c en las directivas Protocols de la configuración general y de cada VirtualHost.
Actualizar a 2.4.71 o al paquete corregido de la distribución, y reiniciar el servicio.
Si todavía no hay paquete, apagar HTTP/2 hasta tenerlo: dejar Protocols http/1.1 en la configuración general y en cada VirtualHost, y recargar. Apache no publicó otra mitigación.
Revisar también imágenes de contenedor y appliances que traen Apache adentro: suelen quedar fuera del ciclo de parches del sistema operativo.

Apagar HTTP/2 tiene un costo de rendimiento, porque el navegador vuelve a abrir varias conexiones en lugar de una. Si el servidor está detrás de un CDN o un balanceador, lo que importa es si Apache acepta HTTP/2 en el tráfico que le llega, sea desde internet o desde ese intermediario.

¿Ya saben cuántos Apache tienen con HTTP/2?

Un servidor web suele estar en el inventario, pero el módulo que tiene activo no siempre. ¿Pueden responder hoy cuáles de sus servidores aceptan HTTP/2? Te leemos en los comentarios.

Fuentes

Escrito por

Pablo Ariel Di Loreto

Profesor. Informático. Fanático del helado de dulce de leche. Director de Ingeniería en MODO, y Secretario del Microsoft Users Group Asociación Civil. Además, soy owner de iniciativas como ConoSurTech y Aprender IT.

Ver todas las entradas de Pablo Ariel Di Loreto →