El 64% de los entornos cloud son vulnerables a una RCE crítica en Apache HTTP Server
Critical RCE Vulnerability in Apache HTTP Server
Wiz alerta sobre CVE-2026-119618, una condición de carrera en la función assign_headers() del módulo mod_http2 de Apache HTTP Server que permite a un atacante remoto no autenticado corromper la memoria del heap y ejecutar código arbitrario. Afecta a las versiones 2.4.55 a 2.4.70; se corrige en 2.4.71. Según datos de Wiz, el 64% de los entornos cloud tienen recursos vulnerables y el 51% exponen instancias públicamente. Aún no hay exploits conocidos, pero se recomienda parchear de inmediato.
Según datos de Wiz, el 64% de los entornos cloud tienen recursos vulnerables a CVE-2026-119618.
- acidburnNSA
Parece ser el primer problema clasificado como 'crítico' desde 2021. https://httpd.apache.org/security/vulnerabilities_24.html
- jamesy0ung
El parche parece ser https://github.com/apache/httpd/commit/5ed39287660daacd1233c...
- rurcliped
Para cualquiera que esté apagando temporalmente un Apache httpd, hay un paso que a veces se pasa por alto: una tarea cron o un timer de systemd para certbot. Esto puede reiniciar httpd y dejarlo en ejecución. En otras palabras, en algunos usos comunes de Let's Encrypt, las instrucciones estándar como "systemctl disable --now apache2" no son suficientes para mantener httpd apagado.
- throooooo
Tengo mucha experiencia como sysadmin de Linux pero no he tocado Apache en más de una década. Pensaba que a estas alturas era mayormente nginx u otras soluciones.
- ankit9673
cada nueva vulnerabilidad me hace pensar en lo malos que somos escribiendo código seguro.
- thehamkercat
> ¿Qué es CVE-2026-111497?
> CVE-2026-119618 es una vulnerabilidad crítica de alta severidad que implica....
¿dos CVEs? (111497 != 11968)
- account42
> en el módulo HTTP/2 de Apache HTTP Server (mod_http2)
Con el diario del lunes, siento que HTTP/2 fue un error. Los beneficios teóricos simplemente no justifican la complejidad añadida. Definitivamente no debería haberse acelerado como se hizo.
- neurostimulant
Lo más probable es que la mayoría de las instalaciones de Apache/PHP usen mpm_prefork y no se vean afectadas por esto.