Un fallo crítico en Apache HTTP Server permite ejecutar código sin iniciar sesión: el 51 % de las nubes tiene instancias expuestas

El servidor web más extendido del planeta tiene un agujero crítico, y no pide credenciales. Apache ha corregido en su versión 2.4.71 la vulnerabilidad CVE-2026-119618, que el propio proyecto califica de crítica: una condición de carrera en la función assign_headers() del módulo HTTP/2 (mod_http2) que puede corromper la memoria del proceso y acabar en ejecución remota de código. Afecta a las versiones 2.4.55 a 2.4.70 con HTTP/2 activado, y a las compilaciones independientes de mod_h2 entre la 2.0.8 y la 2.0.42.

La escala convierte un CVE más en una emergencia. Según Wiz, el 64 % de los entornos en la nube que vigila tiene recursos vulnerables y el 51 % tiene instancias expuestas públicamente —con la cautela de que su medición no descuenta la configuración de cada servidor—. Y una instancia de Apache comprometida puede servir de puerta a microservicios vecinos y a los metadatos de la nube, advierte la misma empresa.

Lo que cambia hoy es la urgencia. The Hacker News recoge este jueves la evaluación de Red Hat, que puntúa el fallo con un 9,8 sobre 10, sostiene que un atacante que alcance el servidor puede tomar el control completo del proceso y afirma que una investigación pública ya demostró un exploit fiable contra la configuración por defecto con mod_http2 activado —sin nombrarla ni enlazarla—. Wiz, al publicar ayer, decía que aún no había exploit disponible ni explotación activa. Leído junto: el parche salió ayer y la ventana de gracia se está cerrando.

El fallo lo encontraron dos equipos por separado: el escáner de código abierto de Anthropic lo reportó el 26 de octubre y Anthony Weems y Simon Scannell, de Google Cloud, el 3 de noviembre. La 2.4.71 corrige además un cierre en mod_md, calificado de importante. Red Hat ya envió sus paquetes para RHEL 9 y 10 y Debian ya la tiene en su rama inestable, mientras sus versiones estables, Amazon Linux y Ubuntu seguían sin parche o sin ficha esta mañana, según The Hacker News.

La receta es directa: actualizar a Apache 2.4.71 o al paquete corregido de la distribución. Quien no pueda parchear hoy tiene la mitigación que propone Wiz: desactivar HTTP/2 dejando Protocols solo en http/1.1, en la configuración global y en cada virtual host. Ojo con mod_h2 independiente: su proyecto en GitHub no ha publicado versión corregida y su repositorio lleva archivado desde junio, así que para esos servidores la mitigación no es opcional.