Vulnerabilidad Apache HTTP Server
Descripción del riesgo
La explotación remota de esta vulnerabilidad podría permitir la ejecución de código arbitrario en el servidor afectado, sin necesidad de autenticación previa ni interacción del usuario.
Productos afectados
Apache HTTP Server
Versiones desde la 2.4.55 hasta la 2.4.70, inclusive.
Módulo independiente mod_h2
Versiones desde la 2.0.8 hasta la 2.0.42, inclusive.
La vulnerabilidad CVE-2026-119618 afecta a las versiones de Apache HTTP Server y del módulo independiente mod_h2 comprendidas en los rangos indicados.
Para verificar si una versión está afectada, se puede consultar la página de vulnerabilidades de Apache HTTP Server 2.4.
A la fecha, no se identificaron reportes confirmados de explotación activa. Sin embargo, la disponibilidad de investigaciones y pruebas de explotación incrementa el riesgo de que se desarrollen herramientas para aprovechar esta vulnerabilidad y se produzcan intentos de comprometer servidores afectados.
Severidad
Puntaje: CVSS v3.1: 9.8
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Detalles técnicos
La vulnerabilidad se origina en una condición de carrera (Race Condition) dentro del módulo mod_http2 de Apache HTTP Server, específicamente en la función assign_headers(). El problema se produce durante el procesamiento simultáneo de solicitudes HTTP/2, cuando distintos hilos de ejecución acceden a estructuras de memoria compartidas sin una sincronización adecuada.
En determinadas condiciones, una solicitud HTTP/2 sin cuerpo (body-less request), que incluye el encabezado Content-Type y omite Content-Length, provoca que Apache agregue automáticamente el encabezado Content-Length: 0. Esta operación se realiza sobre una estructura de memoria compartida y puede generar una condición de competencia en el asignador de memoria, provocando la corrupción del Heap.
La explotación de esta condición podría permitir la manipulación del comportamiento del proceso Apache y, bajo determinadas circunstancias, la ejecución de código arbitrario en el servidor, con los privilegios asociados al proceso vulnerable.
La vulnerabilidad puede explotarse de forma remota, sin autenticación previa ni interacción del usuario, siempre que el servidor tenga habilitado el procesamiento de HTTP/2 mediante el componente afectado.
Remediación
Actualizar Apache HTTP Server a la versión 2.4.71.
En las instalaciones que utilicen el módulo independiente mod_h2, verificar la disponibilidad de una versión corregida y aplicar la actualización correspondiente.
Mitigación
Las siguientes medidas constituyen mitigaciones parciales y no garantizan la seguridad de las instalaciones vulnerables. La actualización del componente afectado es la única solución completa.
Estas medidas buscan reducir las posibilidades de explotación y deben complementarse con mecanismos de protección y monitoreo, como soluciones EDR, aislamiento de los servidores potencialmente vulnerables respecto del resto de la infraestructura y otros controles de seguridad.
Medidas temporales para CVE-2026-119618
Desactivar temporalmente el módulo mod_http2 o retirar el protocolo h2 de la configuración de Apache, manteniendo HTTP/1.1 como alternativa.
Limitar, mediante reglas de firewall o listas de control de acceso (ACL), las conexiones entrantes a los servicios Apache. Siempre que la arquitectura lo permita, permitir únicamente el tráfico proveniente de redes, sistemas o intermediarios autorizados.
Identificar las instancias que tengan habilitado HTTP/2 y priorizar su intervención, especialmente aquellas que procesen conexiones externas sin restricciones.
Monitorear solicitudes HTTP/2 anómalas, errores inesperados del proceso Apache, reinicios de los servicios y comportamientos inusuales de procesos hijos o conexiones salientes.
Recomendaciones
Se recomienda a los equipos responsables de la infraestructura y la administración de servidores web realizar un relevamiento de las instalaciones de Apache HTTP Server desplegadas en sus entornos. El objetivo es identificar aquellas que utilicen versiones potencialmente vulnerables y tengan habilitado el procesamiento de conexiones HTTP/2.
Se debe priorizar la actualización de los servidores expuestos a Internet, instalando Apache HTTP Server 2.4.71 o el parche de seguridad correspondiente proporcionado por el fabricante de la distribución utilizada. Si no es posible aplicar inmediatamente la actualización, se recomienda deshabilitar temporalmente HTTP/2 y restringir el acceso a los servicios afectados hasta completar la remediación.
También se deben verificar las configuraciones de los módulos HTTP/2, revisar los registros de actividad de Apache para detectar comportamientos anómalos y monitorear posibles ejecuciones de procesos o conexiones de red inesperadas asociadas al servicio web.
Finalmente, se debe comprobar que las actualizaciones se hayan aplicado correctamente y que los servicios estén ejecutando las versiones corregidas. También es necesario mantener un seguimiento de las instalaciones que todavía requieren intervención.