[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche":3,"prev-/blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche":466,"next-/blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche":469,"related-/blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche":472,"author-Diego Herrera":494},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":419,"cta":420,"date":425,"dateModified":425,"description":426,"draft":427,"extension":428,"faq":429,"featured":427,"howto":445,"image":446,"imageAlt":447,"intent":448,"keywords":449,"meta":454,"navigation":455,"path":456,"publishedTime":457,"readingTime":458,"seo":459,"seoTitle":460,"stem":461,"tags":462,"__hash__":465},"blog/blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche.md","Apache 2.4.71 corrige una falla crítica en HTTP/2 que permite tomar el servidor sin contraseña: qué revisar hoy","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":409},"minimark",[11,36,45,50,176,187,191,202,209,228,232,235,281,284,288,355,368,372,383,400],[12,13,14,15,19,20,23,24,27,28,31,32,35],"p",{},"La ",[16,17,18],"strong",{},"Apache Software Foundation publicó el miércoles 11 de noviembre de 2026 la versión 2.4.71 de Apache HTTP Server",", y esta vez no hay discusión sobre la gravedad: el propio proyecto califica como ",[16,21,22],{},"crítica"," la falla principal que corrige. Se trata de ",[16,25,26],{},"CVE-2026-119618",", un error en el módulo de HTTP/2 que puede terminar en ",[16,29,30],{},"ejecución remota de código sin autenticación",". Red Hat le asigna ",[16,33,34],{},"9.8 sobre 10"," en la escala CVSS.",[12,37,38,39,44],{},"Es un contraste con ",[40,41,43],"a",{"href":42},"/blog/noticias/apache-2-4-69-20-vulnerabilidades-actualizar","la ronda de octubre",", cuando Apache 2.4.69 corrigió veinte fallas que el proyecto calificó de bajas o moderadas. Esta es una sola, y es de las que no se dejan para el mes que entra.",[46,47,49],"h2",{"id":48},"qué-se-corrigió","Qué se corrigió",[51,52,53,69],"table",{},[54,55,56],"thead",{},[57,58,59,63,66],"tr",{},[60,61,62],"th",{},"Dato",[60,64,65],{},"Detalle",[60,67,68],{},"Fuente",[70,71,72,91,102,116,129,140,166],"tbody",{},[57,73,74,78,88],{},[75,76,77],"td",{},"Falla",[75,79,80,82,83,87],{},[16,81,26],{},": corrupción de memoria y ejecución remota de código en ",[84,85,86],"code",{},"assign_headers()"," de mod_http2",[75,89,90],{},"Página de vulnerabilidades de Apache",[57,92,93,96,99],{},[75,94,95],{},"Tipo",[75,97,98],{},"Condición de carrera: un hilo modifica memoria que pertenece a otro",[75,100,101],{},"Apache y Red Hat",[57,103,104,107,113],{},[75,105,106],{},"Versiones afectadas",[75,108,109,112],{},[16,110,111],{},"2.4.55 a 2.4.70"," (y mod_h2 independiente 2.0.8 a 2.0.42)",[75,114,115],{},"Apache",[57,117,118,121,127],{},[75,119,120],{},"Versión corregida",[75,122,123,126],{},[16,124,125],{},"2.4.71",", del 11 de noviembre de 2026",[75,128,115],{},[57,130,131,134,137],{},[75,132,133],{},"Severidad",[75,135,136],{},"Crítica (Apache); CVSS 9.8 (Red Hat); prioridad alta (Ubuntu)",[75,138,139],{},"Cada fabricante",[57,141,142,145,163],{},[75,143,144],{},"Condición",[75,146,147,148,151,152,154,155,158,159,162],{},"Solo con ",[16,149,150],{},"HTTP/2 habilitado"," (",[84,153,46],{}," o ",[84,156,157],{},"h2c"," en la directiva ",[84,160,161],{},"Protocols",")",[75,164,165],{},"Red Hat",[57,167,168,171,174],{},[75,169,170],{},"Quién la encontró",[75,172,173],{},"El escáner de código abierto de Anthropic (reporte del 26 de octubre) y Anthony Weems y Simon Scannell, de Google Cloud (3 de noviembre)",[75,175,115],{},[12,177,178,179,182,183,186],{},"La misma versión corrige otras dos: ",[16,180,181],{},"CVE-2026-106023",", calificada como importante, que permite tirar procesos del servidor a través de mod_md (el módulo de certificados automáticos), en versiones 2.4.30 a 2.4.70; y ",[16,184,185],{},"CVE-2026-109163",", de severidad baja, en mod_vhost_alias, que solo afecta a 2.4.69 y 2.4.70.",[46,188,190],{"id":189},"ya-hay-ataques","¿Ya hay ataques?",[12,192,193,194,197,198,201],{},"Al cierre de esta nota, ",[16,195,196],{},"no hay reportes de explotación",". La firma Wiz dijo el 11 de noviembre que no conocía exploits públicos ni ataques, pero advirtió que la situación podía cambiar pronto. SecurityWeek reporta que ya circula en GitHub una prueba de concepto que ",[16,199,200],{},"corrompe la memoria y tira el proceso",", sin demostrar todavía ejecución de código; Red Hat, por su parte, habla de investigación pública que demuestra un exploit confiable, sin decir cuál. La firma watchTowr confirmó la falla y lo resumió en una línea: parchar ya o quitar HTTP/2 mientras tanto.",[12,203,204,205,208],{},"Wiz también dio una cifra que conviene leer con cuidado: ",[16,206,207],{},"64 % de los entornos de nube"," que analiza tienen alguna versión afectada y cerca de la mitad la tienen expuesta a internet. Eso cuenta versiones, no configuraciones: no todos tienen HTTP/2 encendido.",[210,211,214],"callout",{"icon":212,"title":213},"i-lucide-shield-alert","La pregunta que decide todo: ¿tienes HTTP/2 activo?",[12,215,216,217,220,221,224,225,227],{},"HTTP/2 ",[16,218,219],{},"no viene activo por defecto"," en Apache, según la documentación del proyecto que cita BleepingComputer. Pero es de lo primero que se enciende cuando alguien «optimiza» un sitio con HTTPS. Si en tu configuración aparece ",[84,222,223],{},"Protocols h2 http/1.1"," (o ",[84,226,157],{},"), estás en el supuesto. Si solo sirves HTTP/1.1, según Red Hat no eres vulnerable.",[46,229,231],{"id":230},"el-parche-todavía-no-llega-a-todas-las-distribuciones","El parche todavía no llega a todas las distribuciones",[12,233,234],{},"Como siempre con Apache en Linux, casi nadie instala «2.4.71» directo: se recibe el paquete de la distribución. Y hoy, 12 de noviembre, el panorama es desigual:",[236,237,238,245,255,265,275],"ul",{},[239,240,241,244],"li",{},[16,242,243],{},"Debian 13 (trixie):"," ya tiene paquete corregido, 2.4.71-1~deb13u1, con el aviso DSA-6620-1.",[239,246,247,250,251,254],{},[16,248,249],{},"Debian 12 (bookworm):"," el rastreador de seguridad de Debian lista la 2.4.71-1~deb12u1 en el repositorio de seguridad, pero al momento de consultarlo todavía la marcaba como vulnerable. Puede ser un desfase del rastreador; verifica con ",[84,252,253],{},"apt"," antes de darlo por resuelto.",[239,256,257,260,261,264],{},[16,258,259],{},"Ubuntu:"," todas las versiones, de la 14.04 a la 26.10, aparecen como ",[16,262,263],{},"«en evaluación»",". Ubuntu aclara que ha llevado versiones nuevas del módulo a sus versiones estables, así que no asumas que una LTS vieja se salva.",[239,266,267,270,271,274],{},[16,268,269],{},"Red Hat Enterprise Linux:"," RHEL 8 y anteriores ",[16,272,273],{},"no están afectados",", porque su mod_http2 es anterior al código con la falla. En RHEL 9 y 10 Red Hat la baja a «importante»: ahí cada flujo HTTP/2 usa su propia reserva de memoria y eso complica el ataque. La página que consultamos no mostraba todavía erratas con fecha. AlmaLinux y Rocky suelen seguir a Red Hat; no lo verificamos.",[239,276,277,280],{},[16,278,279],{},"Apache sobre Windows y paquetes tipo XAMPP:"," no se actualizan con Windows Update. Hay que esperar al empaquetador o instalar la 2.4.71. No encontramos aviso de cPanel ni de otros paneles al cierre.",[282,283],"ad-banner",{},[46,285,287],{"id":286},"qué-hacer-hoy","Qué hacer hoy",[289,290,291,304,317,323,333,343,349],"ol",{},[239,292,293,296,297,224,300,303],{},[16,294,295],{},"Haz la lista de servidores con Apache",": sitio web, tienda en línea, intranet, sistemas internos en PHP. ",[84,298,299],{},"apachectl -v",[84,301,302],{},"httpd -v",") da la versión. Si está entre 2.4.55 y 2.4.70, sigue al paso 2.",[239,305,306,309,310,312,313,316],{},[16,307,308],{},"Revisa si HTTP/2 está activo."," Busca la directiva ",[84,311,161],{}," en la configuración general y en cada sitio virtual, y confirma si el módulo http2 está cargado con ",[84,314,315],{},"apachectl -M",".",[239,318,319,322],{},[16,320,321],{},"Si hay paquete corregido, actualiza hoy"," y reinicia el servicio. En Debian 13 ya está.",[239,324,325,328,329,332],{},[16,326,327],{},"Si no hay paquete, apaga HTTP/2",": deja ",[84,330,331],{},"Protocols http/1.1",", recarga Apache y comprueba que el sitio responde. Es un cambio de una línea, reversible, y el costo es que las páginas carguen un poco más lento por unos días. Con el Buen Fin arrancando mañana, es mejor una tienda algo más lenta que una tienda comprometida.",[239,334,335,338,339,342],{},[16,336,337],{},"Si tu sitio está en un hosting compartido o administrado",", escribe al proveedor: ¿ya aplicaron la corrección de CVE-2026-119618 o desactivaron HTTP/2? Wordfence lo advirtió con razón: ",[16,340,341],{},"actualizar WordPress no arregla esto",", porque la falla está debajo.",[239,344,345,348],{},[16,346,347],{},"Si hay un proxy o CDN delante",", no lo tomes como exención: ninguna de las fuentes que revisamos dice que eso evite la falla. Revisa si el Apache de origen habla HTTP/2 y si es alcanzable directo desde internet.",[239,350,351,354],{},[16,352,353],{},"Guarda evidencia de reinicios raros."," La prueba de concepto pública tira procesos; caídas repetidas de Apache en el log de errores a partir del 11 de noviembre merecen una segunda mirada.",[12,356,357,358,362,363,367],{},"Si el servidor nunca ha pasado por una revisión de configuración, ",[40,359,361],{"href":360},"/blog/tutorial/hardening-servidores-linux","los 15 pasos de endurecimiento para Linux"," son el siguiente pendiente, y si publicas el sitio detrás de otro servidor, ",[40,364,366],{"href":365},"/blog/tutorial/nginx-reverse-proxy-ssl","la guía de Nginx como proxy inverso"," explica cómo queda esa capa.",[46,369,371],{"id":370},"lo-que-deja-ver-esta-falla","Lo que deja ver esta falla",[12,373,374,375,378,379,316],{},"Dos cosas. La primera: el reporte inicial lo hizo ",[16,376,377],{},"una herramienta automática de análisis con IA",", y una semana después llegó un equipo humano de Google al mismo punto por su cuenta. Ayer mismo SecurityWeek contaba que Fortinet corrigió casi cien fallas tras meter modelos de IA a sus pruebas. Lo que encuentran los defensores con esas herramientas también lo pueden encontrar otros, así que el tiempo entre parche y ataque se sigue acortando; en esta misma semana lo vimos con ",[40,380,382],{"href":381},"/blog/noticias/n-able-n-central-2026-4-hf2-able2shell-servidores-locales","los servidores N-central",[12,384,385,386,390,391,395,396,316],{},"La segunda es la de siempre: el servidor web que nadie recuerda. Las fallas de este mes y las de ",[40,387,389],{"href":388},"/blog/noticias/php2shell-cve-2026-109618-109619-actualizar-php","PHP de octubre"," pegan en el mismo equipo, el del sistema interno que alguien montó hace años. En Syswork nos encargamos de ese inventario y de mantenerlo al día dentro de ",[40,392,394],{"href":393},"/servicios/servidores","servidores"," y ",[40,397,399],{"href":398},"/servicios/ciberseguridad","ciberseguridad",[401,402],"call-to-action",{"description":403,"eyebrow":404,"icon":405,"label":406,"title":407,"to":408},"Revisamos tus servidores web, confirmamos si HTTP/2 está expuesto, aplicamos el parche o la mitigación y te dejamos el reporte por escrito.","Servidores al día","i-lucide-server-cog","Pedir revisión","¿Tu Apache está entre la 2.4.55 y la 2.4.70?","/contacto",{"title":410,"searchDepth":411,"depth":412,"links":413},"",2,3,[414,415,416,417,418],{"id":48,"depth":411,"text":49},{"id":189,"depth":411,"text":190},{"id":230,"depth":411,"text":231},{"id":286,"depth":411,"text":287},{"id":370,"depth":411,"text":371},"noticias",{"title":421,"description":422,"label":423,"to":393,"icon":424},"¿Sabes en cuáles de tus servidores está activo HTTP/2?","Revisamos versión y configuración de tus servidores web, aplicamos el parche o la mitigación y dejamos un calendario de actualizaciones.","Ver servidores","i-lucide-server","2026-11-12","Apache 2.4.71 corrige CVE-2026-119618, ejecución remota de código en mod_http2 (versiones 2.4.55 a 2.4.70). Cómo saber si te afecta y qué hacer sin parche.",false,"md",[430,433,436,439,442],{"question":431,"answer":432},"¿Qué es CVE-2026-119618?","Una falla crítica en mod_http2, el módulo de Apache HTTP Server que atiende el tráfico HTTP/2. Es una condición de carrera en la función assign_headers que corrompe la memoria del servidor y puede llevar a ejecución remota de código sin autenticación. Afecta a las versiones 2.4.55 a 2.4.70 y se corrige en la 2.4.71, publicada el 11 de noviembre de 2026.",{"question":434,"answer":435},"¿Mi servidor es vulnerable si no uso HTTP/2?","No, según Red Hat: la falla solo afecta a servidores con HTTP/2 habilitado en la directiva Protocols (h2 o h2c). Los que solo sirven HTTP/1.1 no son vulnerables. HTTP/2 no viene activo por defecto en Apache, pero muchos sitios con HTTPS lo activan por rendimiento, así que hay que revisar la configuración y no suponer.",{"question":437,"answer":438},"¿Ya la están explotando?","Al 12 de noviembre de 2026 no hay reportes de ataques. Wiz dijo el 11 de noviembre que no conocía exploits públicos ni explotación activa, aunque advirtió que eso puede cambiar pronto. SecurityWeek reporta una prueba de concepto pública que tira el proceso del servidor, sin demostrar todavía ejecución de código, y Red Hat menciona investigación pública con un exploit confiable.",{"question":440,"answer":441},"¿Actualizar WordPress corrige esta falla?","No. La falla está en el servidor web, no en WordPress ni en sus plugins. Si tu sitio vive en un hosting compartido, quien debe actualizar Apache es el proveedor; lo que te toca es preguntarle por escrito si ya aplicó la corrección o si desactivó HTTP/2 mientras tanto.",{"question":443,"answer":444},"¿Qué hago si mi distribución todavía no publica el paquete corregido?","Desactivar HTTP/2 temporalmente: quita h2 y h2c de la directiva Protocols, deja solo http/1.1 y recarga Apache. El sitio sigue funcionando, con algo menos de rendimiento en la carga de páginas. Cuando llegue el paquete corregido, actualiza y vuelve a activarlo.",null,"/images/blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche.jpg","Terminal de un servidor Linux mostrando la versión de Apache y la configuración de protocolos HTTP/2 de un sitio web","informational",[450,451,452,453],"apache 2.4.71","cve-2026-119618","vulnerabilidad apache http2 mod_http2","actualizar apache http server",{},true,"/blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche","2026-11-12T17:30:00-06:00",5,{"title":5,"description":426},"Apache 2.4.71: falla crítica HTTP/2 (CVE-2026-119618)","blog/noticias/apache-http-server-cve-2026-119618-http2-rce-parche",[399,463,394,464],"vulnerabilidades","apache","OTaYNulF7oWvUGFbLsCUcLTjFhFa9mlfENwrDsQvHnY",{"path":467,"title":468},"/blog/noticias/windows-10-ltsc-2021-sin-parches-12-enero-iot-2032","Windows 10 LTSC 2021 recibe su último parche el 12 de enero: si instalaste esa edición para escapar del fin de Windows 10, se te acaba la prórroga",{"path":470,"title":471},"/blog/noticias/barracuda-esg-cve-2026-116606-explotada-plazo-cisa-13-noviembre","Barracuda ESG: hoy vence el plazo de CISA para dos fallas ya explotadas que dejan tomar el filtro de correo; WAF, balanceadores y archivadores también parchan",[473,480,487],{"path":474,"title":475,"description":476,"date":477,"category":419,"image":478,"imageAlt":479,"readingTime":458},"/blog/noticias/sonicwall-gms-sin-soporte-cisco-fmc-ftd-7-7-consolas-firewall","La consola de tus firewalls también caduca: SonicWall GMS ya no recibe parches y Cisco deja de surtir FTD y FMC 7.7 el 28 de diciembre","SonicWall GMS perdió soporte el 30 de septiembre; Cisco FTD y FMC 7.7 dejan de surtirse el 28 de diciembre y sin parches en 2027. Fechas y qué hacer.","2026-11-13","/images/blog/noticias/sonicwall-gms-sin-soporte-cisco-fmc-ftd-7-7-consolas-firewall.jpg","Pantalla de consola de administración de firewalls en un escritorio de TI, junto a un rack con equipos de red y un calendario marcado en diciembre",{"path":481,"title":482,"description":483,"date":477,"category":419,"image":484,"imageAlt":485,"readingTime":486},"/blog/noticias/isr-ley-ingresos-2027-publicados-dof-13-noviembre-resico-5-millones","Ya es ley: el DOF publica el ISR 2027, la Ley de Ingresos y la de Derechos; RESICO sube a 5 millones, llega el IVA de 7 % y desaparece la integración de grupos","El DOF del 13 de noviembre publica la reforma al ISR, la LIF y la LFD 2027. Vigor 1 de enero: tope a deducciones, RESICO a 5 millones, IVA de 7 % y condonación.","/images/blog/noticias/isr-ley-ingresos-2027-publicados-dof-13-noviembre-resico-5-millones.jpg","Ejemplar del Diario Oficial de la Federación del 13 de noviembre de 2026 junto a una calculadora y una declaración de pagos provisionales",6,{"path":488,"title":489,"description":490,"date":477,"category":419,"image":491,"imageAlt":492,"readingTime":493},"/blog/noticias/gemini-omni-1-1-flash-redireccion-1-2-3-diciembre-video","Gemini Omni 1.1 Flash duró 98 días: el 3 de diciembre Google manda tus videos a la versión 1.2, más barata y sin preguntarte","Desde el 3 de diciembre, la API de Gemini envía las llamadas a gemini-omni-1.1-flash a la versión 1.2: video 30% más barato, pero otro modelo. Qué revisar.","/images/blog/noticias/gemini-omni-1-1-flash-redireccion-1-2-3-diciembre-video.jpg","Monitor de una agencia pequeña con una línea de tiempo de video y miniaturas de clips de producto generados con IA, junto a un calendario de escritorio",4,{"id":495,"avatar":445,"bio":496,"entityType":497,"expertise":498,"extension":499,"meta":500,"name":6,"role":501,"slug":502,"social":445,"stem":503,"url":7,"__hash__":504},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]