Una falla crítica en Apache HTTP Server permite ejecutar código de forma remota
Se trata de la CVE-2026-119618, un error en el módulo HTTP/2 de Apache HTTP Server que podría dar control sobre el servidor a un atacante sin credenciales. Según Wiz, no hay exploit público ni ataques conocidos por ahora.
Redacción PicoTecno
2 min de lectura
(wiz.io)
Se detectó una vulnerabilidad crítica en Apache HTTP Server, uno de los servidores web más usados del mundo. Según informó la empresa de seguridad en la nube Wiz, la falla está registrada como CVE-2026-119618 y se encuentra en mod_http2, el módulo que habilita el protocolo HTTP/2. Si se explota con éxito, permite la ejecución remota de código (RCE, por sus siglas en inglés), es decir, que un atacante corra comandos en un equipo ajeno desde afuera.
El problema es una condición de carrera (race condition), un tipo de error que aparece cuando varios hilos de ejecución acceden a la vez a recursos compartidos sin la sincronización adecuada. En este caso ocurre dentro de la función assign_headers(). Según el reporte, un atacante remoto y sin autenticación puede aprovecharlo para corromper la memoria dinámica (conocida como heap) y, a partir de ahí, ejecutar código arbitrario con los privilegios del proceso del servidor web.
Wiz indicó que la falla fue descubierta de forma independiente por Anthropic y por el equipo de investigación de vulnerabilidades de Google Cloud. Al momento de la publicación del informe no había un exploit disponible ni reportes de explotación en entornos reales.
Impacto en la nube
La compañía advirtió que, en entornos en la nube, una instancia de Apache comprometida que corra cargas de trabajo en contenedores o máquinas virtuales puede servir como puerta de entrada para un movimiento lateral. Eso podría exponer microservicios cercanos o los puntos de acceso a los metadatos de la nube.
Según datos de Wiz, el 64% de los entornos cloud tiene recursos vulnerables a esta falla y el 51% cuenta con instancias expuestas públicamente. La empresa aclaró que esas cifras no toman en cuenta la configuración de cada entorno.
Cómo mitigarla
Wiz recomienda a los equipos de seguridad e ingeniería las siguientes medidas:
Actualizar Apache HTTP Server a la versión 2.4.71 o posterior, que corrige el error en assign_headers().
Si se usan compilaciones independientes de mod_h2 desde GitHub, pasar a una versión posterior a la 2.0.42.
Si no se puede parchear de inmediato, desactivar temporalmente HTTP/2 y limitar los protocolos activos a HTTP/1.1 en el archivo de configuración (por ejemplo, httpd.conf), quitando las referencias a h2 y h2c.
Los clientes de Wiz pueden usar además una consulta y un aviso preconfigurados en el Wiz Threat Center para ubicar instancias vulnerables en sus entornos.
