Una falla crítica en el módulo HTTP/2 del servidor Apache HTTP podría permitir ataques no autenticados Ejecute código de forma remota y posiblemente tome el control de los procesos del servidor afectados.. Seguimiento como CVE-2026-119618esta vulnerabilidad afecta al servidor Apache HTTP 2.4.55 a 2.4.70 cuando HTTP/2 está habilitado y se corrigió en la versión 2.4.71. Noticias de hackers informa: La evaluación del proveedor publicada ayer también decía que «la investigación pública ha demostrado una utilización confiable de servidores configurados con mod_http2 habilitado en la configuración predeterminada». No nombra ni vincula al estudio. La firma de seguridad Wiz dijo más tarde ese día que no había ningún exploit disponible ni informes de exploits en la naturaleza.
HTTP/2 sólo se ejecuta donde la directiva Protocolos está habilitada, porque Documentación de modificación explicado. Esta directiva utiliza h2 para HTTP/2 sobre TLS y h2c para HTTP/2 sobre TCP simple. Se puede configurar para un servidor completo o para un solo host virtual, por lo que los administradores deben verificar la configuración de todo el servidor y de cada host virtual.
La versión independiente de este mod (lanzada como mod_h2 en GitHub) se ve afectada por las versiones 2.0.8 a 2.0.42. Los administradores que ejecutan su propia versión del proyecto del servidor Apache HTTP deben migrar a la versión 2.4.71, la solución mencionada en su proyecto. Consultoría de seguridad. Esta versión también corrige un fallo en mod_md (calificado como importante) y una sobrescritura de una tupla de memoria apilada en mod_vhost_alias (calificado como bajo).
