Una falla crítica en el módulo HTTP/2 de Apache permite tomar el control del servidor sin iniciar sesión

Afecta las versiones 2.4.55 a 2.4.70 con HTTP/2 activado y se corrige en la 2.4.71. Quien no pueda actualizar todavía puede apagar HTTP/2 mientras tanto.

Una falla crítica en mod_http2, el módulo de HTTP/2 del servidor web Apache HTTP Server, permite a un atacante remoto ejecutar código en el servidor, informó The Hacker News el 12 de noviembre de 2026. Registrada como CVE-2026-119618, afecta las versiones 2.4.55 a 2.4.70 y quedó corregida en la 2.4.71, publicada el 11 de noviembre. Solo están expuestos los servidores que tienen HTTP/2 activado.

Según Red Hat, que distribuye el servidor en Red Hat Enterprise Linux, el atacante no necesita autenticarse y podría tomar el control completo del proceso del servidor. La empresa le da 9.8 de 10 en la escala CVSS y dice que «una investigación pública ha demostrado un exploit fiable» contra la configuración por defecto, aunque no la nombra. Wiz dijo más tarde ese mismo día que no había un exploit disponible ni ataques reportados.

Red Hat ya publicó parches para las versiones 9 y 10 de su sistema, donde califica la falla como importante y no crítica porque sus paquetes hacen el ataque mucho más difícil. Red Hat Enterprise Linux 8 y anteriores no tienen el código vulnerable. Debian ya la corrigió en su rama inestable, pero no en bookworm, trixie ni forky, y Amazon Linux tiene el arreglo pendiente.

El aviso de Apache no ofrece una alternativa temporal. Wiz recomienda a quien no pueda actualizar quitar h2 y h2c de la directiva Protocols y dejar solo http/1.1, revisando tanto la configuración general como cada host virtual. La falla la reportó el 26 de octubre el OSS Scanner de Anthropic, un servicio gratuito que revisa proyectos de código abierto con sus modelos, y luego investigadores de Google Cloud.

Fuente: The Hacker News: «Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely», 12 de noviembre de 2026.