Vulnerabilidad · crítica
Múltiples vulnerabilidades en Apache HTTP Server 2.4.55 a 2.4.70, con un fallo crítico en mod_http2
Nivel A · Parchea hoy – Antes de terminar la jornada
Quién está expuesto: Servidores Apache 2.4.55 a 2.4.70 con mod_http2
Nivel A porque: Infraestructura básica o herramienta popular Y en remoto, sin credenciales Y compromiso total
Alcance
Ataque
Daño
Corrección
Herramienta popular · En remoto, sin credenciales · Compromiso total
Qué hacer
- Actualizar Apache HTTP Server a la versión 2.4.71 o posterior.
- Comprobar la versión instalada en los servidores que usen mod_http2.
Lo esencial
- Apache publicó la versión 2.4.71 para corregir el fallo crítico CVE-2026-119618 en mod_http2.
- El fallo permite a un atacante remoto no autenticado ejecutar código en el servidor.
- Afecta a las versiones de Apache HTTP Server 2.4.55 a 2.4.70.
Por qué importa
Un servidor afectado podría quedar bajo el control de un atacante sin necesidad de credenciales, por lo que conviene revisar la versión de Apache en uso y actualizarla cuanto antes.
La checklist detrás del nivel
Checklist · 4 de 10 con sí
| Sí | Afecta a equipos técnicos | Apache HTTP Server es un servidor web que los equipos de desarrollo y operaciones despliegan y administran. |
| No | Infraestructura básica | Es un único producto de la Apache Software Foundation, muy popular pero no software básico como OpenSSH o glibc. |
| Sí | Herramienta popular | Apache HTTP Server es uno de los servidores web más usados del mundo, según conocimiento general. |
| No | Se está explotando | RedesZone y elhacker.NET solo describen la vulnerabilidad y el parche; ninguna informa de ataques reales. |
| No | Exploit público | Ninguna de las dos fuentes menciona código de explotación ni prueba de concepto publicada. |
| Sí | En remoto, sin credenciales | elhacker.NET: atacantes remotos no autenticados pueden ejecutar código; RedesZone: atacante remoto sin necesidad de credenciales. |
| Sí | Compromiso total | elhacker.NET: el fallo permite ejecutar código y tomar control del servidor; RedesZone coincide. |
| No | Secretos expuestos | Las fuentes no mencionan robo de credenciales, datos de clientes ni código fuente. |
| No | Cadena de suministro | Es una vulnerabilidad en el módulo mod_http2, no una distribución de código malicioso por canales de confianza. |
| No | Aún sin corrección | RedesZone: Apache publicó la versión 2.4.71 para corregir el fallo; elhacker.NET la llama solución oficial. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
Apache HTTP Server: mod_http2: heap corruption and RCE in assign_headers
- Explotado
- No está en el catálogo de explotadas de CISA
- Debilidad
- CWE-362
Cronología
Apache publica la versión 2.4.71 con la corrección del fallo en mod_http2
RedesZone : Portal sobre telecomunicaciones, redes y ciberseguridad
Fallo de seguridad crítico en el servidor web Apache: podrían hackear tu web en segundos
Avisos INCIBE-CERT
Múltiples vulnerabilidades en Apache HTTP Server
Blog elhacker.NET
Grave fallo de Apache HTTP/2 podría permitir la ejecución remota de código por atacantes no autenticados
Cobertura completa · 3 fuentes
- hace 5 h ↗
Blog elhacker.NET
Grave fallo de Apache HTTP/2 podría permitir la ejecución remota de código por atacantes no autenticados - hace 6 h ↗
Avisos INCIBE-CERT
Múltiples vulnerabilidades en Apache HTTP Server - hace 7 h ↗
RedesZone : Portal sobre telecomunicaciones, redes y ciberseguridad
Fallo de seguridad crítico en el servidor web Apache: podrían hackear tu web en segundos
Visto por primera vez · 3 fuentes · La noticia completa · Cómo se deciden los niveles