Apache publicó el 11 de noviembre de 2026 la versión 2.4.71 de su servidor web. Corrige un fallo crítico en el módulo de HTTP/2 que puede permitir ejecutar código a distancia en las versiones 2.4.55 a 2.4.70. Afecta a las webs servidas con Apache que tienen HTTP/2 activado.
Lo que se sabe
- La versión: según la página de vulnerabilidades de Apache HTTP Server, la 2.4.71 salió el 11 de noviembre de 2026 y corrige tres fallos: uno crítico, uno importante y uno de gravedad baja.
- El crítico (CVE-2026-119618): está en mod_http2, el módulo que sirve las páginas por HTTP/2. Apache lo describe como un problema de sincronización entre ejecuciones simultáneas que puede corromper la memoria y llevar a la ejecución remota de código. Afecta de la 2.4.55 a la 2.4.70, y también al módulo mod_h2 que se distribuye aparte en GitHub, de la 2.0.8 a la 2.0.42.
- Quién lo encontró: según Apache, el escáner de código abierto de Anthropic lo comunicó el 26 de octubre, y dos investigadores de Google Cloud, el 3 de noviembre. El arreglo y la versión salieron el 11 de noviembre.
- El importante (CVE-2026-106023): en mod_md, el módulo que gestiona certificados de forma automática. Una petición puede tumbar un proceso del servidor. Afecta de la 2.4.30 a la 2.4.70.
- El bajo (CVE-2026-109163): en mod_vhost_alias, un desbordamiento de un byte. Afecta solo a la 2.4.69 y la 2.4.70.
- Lo que no dice el aviso: Apache no indica que el fallo crítico se esté aprovechando, ni da detalles de cómo se activa.
Qué cambia y qué no
Cambia la urgencia para quien usa Apache con HTTP/2: hay un arreglo publicado y el fallo es de la máxima gravedad. Si tu servidor está por debajo de la 2.4.55, el fallo crítico no le afecta, pero ese servidor arrastra otros fallos antiguos y también conviene ponerlo al día.
No afecta a las webs servidas solo con nginx, LiteSpeed u otros servidores, ni a las que usan Apache sin el módulo de HTTP/2 cargado. Tampoco cambia nada en el SEO: la web no pierde posiciones por esto, pero un servidor comprometido sí puede acabar con contenido inyectado o caído, y eso sí se nota en Google.
Cómo saber si te afecta
- Averigua qué servidor usa tu web. En el navegador, abre las herramientas de desarrollo (F12), pestaña Red, recarga la página y mira la cabecera `server` de la primera petición. Muchos servidores la ocultan; si no aparece, pregúntalo a tu proveedor.
- Mira si sirve HTTP/2. En esa misma pestaña, activa la columna «Protocolo»: si pone `h2`, la conexión es por HTTP/2. Ojo: si delante hay una red de entrega como Cloudflare, ese `h2` puede ser el de la red, no el de tu servidor.
- Si tienes acceso al servidor, ejecuta `httpd -v` o `apache2 -v`. Si la versión está entre 2.4.55 y 2.4.70 y el módulo `http2` está cargado (`apachectl -M | grep http2`), actualiza a la 2.4.71.
- En Debian, Ubuntu, Red Hat y similares, el número de versión de Apache puede no cambiar aunque el paquete traiga el arreglo. Revisa el aviso de seguridad de tu distribución para este CVE e instala el paquete que lo corrige.
- Si no puedes actualizar hoy, desactivar HTTP/2 en Apache hasta aplicar el parche corta el camino del fallo crítico. La web seguirá funcionando por HTTP/1.1, algo más lenta.
- En hosting compartido, no está en tu mano. Pregunta a tu proveedor si su servidor usa Apache con HTTP/2, qué versión tiene y cuándo aplicará la 2.4.71 o el parche de su distribución.
- Después de actualizar, reinicia Apache: el proceso viejo sigue en marcha hasta que se reinicia.
Relacionado: Apache 2.4.69 corrige 20 fallos: cómo saber si te afecta
Fuentes
- Apache HTTP Server, «Apache HTTP Server 2.4 vulnerabilities» (en inglés)
- The Hacker News, «Critical Apache HTTP/2 Flaw Could Let Unauthenticated Attackers Execute Code Remotely», 12 de noviembre de 2026 (en inglés)
Actualizaciones: si Apache o las distribuciones publican novedades sobre este fallo, se añadirán aquí con su enlace.