Producto(s) afectado(s):
| Producto | Versiones afectadas |
| Apache HTTP Server (mod_http2) | 2.4.55 a 2.4.70 (CVE-2026-119618, crítica). |
| Módulo independiente mod_h2 (GitHub) | 2.0.8 a 2.0.42 (CVE-2026-119618). Sin release corregida. |
| Apache HTTP Server (mod_md) | 2.4.30 a 2.4.70 (CVE-2026-106023, importante). |
| Apache HTTP Server (mod_vhost_alias) | 2.4.69 y 2.4.70 (CVE-2026-109163, baja). |
La corrección de httpd es la 2.4.71. No todas las ramas 2.4 quedan afectadas por la falla crítica: esta comienza en 2.4.55. El fabricante no publicó puntajes CVSS.
Descripción
Se ha publicado la versión 2.4.71 de Apache HTTP Server, difundida el 11/11/2026, que corrige tres vulnerabilidades: una crítica, una importante y una baja, según el fabricante. El fabricante no publicó puntajes CVSS; las gravedades que se indican son las suyas, en palabras.
| CVE | Gravedad | Módulo | Rango afectado |
| CVE-2026-119618 | Crítica | mod_http2 / mod_h2 | httpd 2.4.55 a 2.4.70; mod_h2 2.0.8 a 2.0.42 |
| CVE-2026-106023 | Importante | mod_md | httpd 2.4.30 a 2.4.70 |
| CVE-2026-109163 | Baja | mod_vhost_alias | httpd 2.4.69 y 2.4.70 |
La más grave es CVE-2026-119618, de gravedad crítica: una falla de sincronización en la función assign_headers() de mod_http2 puede corromper la memoria heap y permitir la ejecución remota de código. Afecta a Apache HTTP Server de 2.4.55 a 2.4.70, incluida la 2.4.70 publicada el 06/11/2026, y al módulo independiente mod_h2 de 2.0.8 a 2.0.42. El fabricante no describe un requisito de autenticación. Un empaquetador indica que un atacante remoto sin autenticación que alcance el servidor puede llegar a ejecutar código si HTTP/2 (h2 o h2c) está habilitado, y que los servidores que solo sirven HTTP/1.1 no estarían afectados. Ese mismo empaquetador publicó un CVSS 3.1 de 9.8 para esta falla; no es un puntaje de Apache ni de NVD, que al cierre de esta revisión no tenían métricas. En algunas de sus ramas (RHEL 9 y 10) califica el impacto como importante, no crítico, por una diferencia de implementación, y considera no afectadas las anteriores a RHEL 9.
Del módulo independiente, el fabricante no publicó una versión corregida. El repositorio de origen está archivado y sin mantenimiento desde el 09/06/2026, y la última entrega sigue siendo la 2.0.42, que está dentro del rango afectado. Quienes aún lo usen deben pasar al mod_http2 incluido en httpd 2.4.71 o al paquete parcheado de su distribución.
En el mismo lote, CVE-2026-106023, de gravedad importante, es una desreferencia de puntero nulo en mod_md durante el procesamiento de peticiones HTTP, que puede tumbar procesos hijo. Afecta de 2.4.30 a 2.4.70. CVE-2026-109163, de gravedad baja, es una sobreescritura de un byte en la pila de mod_vhost_alias, remanente de CVE-2026-63292 (corregida en 2.4.69), y solo afecta a 2.4.69 y 2.4.70.
El fabricante no informa explotación activa de estas vulnerabilidades. No se identificó una prueba de concepto pública verificada. Un empaquetador indica que investigación pública demostró un exploit fiable contra un servidor con la configuración por defecto y mod_http2 habilitado. Eso habla de explotabilidad, no de un compromiso en curso confirmado.
En cuanto a paquetes de distribución, Debian unstable ya tiene apache2 2.4.71-1 en la mayoría de las arquitecturas; bookworm, trixie y forky, a esta hora, siguen sin esa versión. RHEL 9 y 10 tienen avisos de hoy que corrigen la falla crítica en el paquete mod_http2, no mediante un rebase de httpd a 2.4.71; RHEL 8 y anteriores, según ese empaquetador, no están afectados por CVE-2026-119618. Red Hat JBoss Core Services y las imágenes endurecidas figuran como afectados, todavía sin aviso. A esta hora no se localizó aviso público de Ubuntu ni de SUSE u openSUSE, ni se confirmó un errata de AlmaLinux o Rocky Linux. No se localizó aviso de otros fabricantes sobre productos con Apache embebido.
Mitigación
Se recomienda inventariar los servidores Apache HTTP Server, anotar la versión exacta y si tienen HTTP/2 (h2 o h2c) o el módulo independiente mod_h2, y priorizar la actualización a 2.4.71 o al paquete parcheado de la distribución cuando exista.
El fabricante no publicó un workaround oficial. Como contención temporal, hasta aplicar el parche, se puede quitar h2 y h2c de la directiva Protocols o deshabilitar mod_http2, de modo que el servidor quede solo en HTTP/1.1. Esa medida se apoya en que la falla crítica vive en ese módulo y en que un empaquetador limita la exposición a HTTP/2 habilitado. No reemplaza la actualización. Conviene evaluar el impacto en los clientes que dependan de HTTP/2.
Quienes carguen mod_h2 desde el repositorio de GitHub no tienen, a esta hora, una release nueva que aplicar: hay que sustituirlo por el módulo de 2.4.71. Deshabilitar mod_md, en todo caso, solo sería una contención parcial de CVE-2026-106023, no de la falla crítica, y no consta como consejo del fabricante.
Estas medidas no reemplazan la actualización. El parche no deshace un compromiso previo.
Detección
El fabricante no publicó indicadores de compromiso. La detección queda limitada a inventariar la versión en ejecución, comprobar si HTTP/2 (h2 o h2c) está habilitado y si se carga el módulo independiente mod_h2.
Solución
La solución consiste en actualizar Apache HTTP Server a la versión 2.4.71 o posterior, o instalar el paquete parcheado de la distribución cuando esté disponible. En instalaciones que aún usen el módulo independiente mod_h2 (2.0.8 a 2.0.42), sustituirlo por el mod_http2 de 2.4.71. Conviene respaldar la configuración antes de actualizar.
| Producto / rama | Corrección |
| Apache HTTP Server 2.4.x | 2.4.71 o posterior |
| mod_h2 independiente (2.0.8 a 2.0.42) | No hay release corregida; pasar al mod_http2 de 2.4.71 |
| Debian unstable | apache2 2.4.71-1 (ya en la mayoría de las arquitecturas). bookworm, trixie y forky, a esta hora, aún no |
| RHEL 10, 10.0 EUS y 10.2 EUS | Paquete mod_http2 de RHSA-2026:98978, 98953 y 98979 |
| RHEL 9, 9.4 E4S, 9.6 EUS y 9.8 EUS | Paquete mod_http2 de RHSA-2026:98981, 98968, 98954 y 98982 |
| RHEL 8 y anteriores | No afectados por CVE-2026-119618, según el empaquetador |
| Ubuntu, SUSE / openSUSE, AlmaLinux, Rocky Linux | A esta hora no se localizó aviso público o no está confirmado |
Los avisos de RHEL 9 y 10 cubren CVE-2026-119618 en el paquete mod_http2; no equivalen a un rebase de httpd a 2.4.71, que además corrige CVE-2026-106023 y CVE-2026-109163.
Para info sobre cómo actualizar, visita el siguiente enlace:
https://httpd.apache.org/security/vulnerabilities_24.html
Información adicional:
- Apache HTTP Server — vulnerabilidades de la rama 2.4:
https://httpd.apache.org/security/vulnerabilities_24.html - Apache HTTP Server — anuncio de 2.4.71:
https://downloads.apache.org/httpd/Announcement2.4.html - Apache HTTP Server — descarga:
https://httpd.apache.org/download.cgi - Apache HTTP Server — CHANGES_2.4.71:
https://downloads.apache.org/httpd/CHANGES_2.4.71 - oss-security — CVE-2026-119618:
https://www.openwall.com/lists/oss-security/2026/11/11/13 - oss-security — CVE-2026-106023:
https://www.openwall.com/lists/oss-security/2026/11/11/11 - oss-security — CVE-2026-109163:
https://www.openwall.com/lists/oss-security/2026/11/11/12 - CVE.org — CVE-2026-119618:
https://www.cve.org/CVERecord?id=CVE-2026-119618 - CVE.org — CVE-2026-106023:
https://www.cve.org/CVERecord?id=CVE-2026-106023 - CVE.org — CVE-2026-109163:
https://www.cve.org/CVERecord?id=CVE-2026-109163 - Repositorio del módulo independiente mod_h2 (archivado):
https://github.com/icing/mod_h2 - Debian — rastreador de CVE-2026-119618:
https://security-tracker.debian.org/tracker/CVE-2026-119618 - Red Hat — CVE-2026-119618:
https://access.redhat.com/security/cve/cve-2026-119618 - Red Hat — RHSA-2026:98978 (RHEL 10):
https://access.redhat.com/errata/RHSA-2026:98978 - Red Hat — RHSA-2026:98981 (RHEL 9):
https://access.redhat.com/errata/RHSA-2026:98981