Apache corrige RCE crítico en mod_http2 (CVE-2026-119618) hallado por Anthropic y Google

Apache publicó el 11 de noviembre de 2026 la versión 2.4.71 de HTTP Server para corregir CVE-2026-119618, una condición de carrera en mod_http2 que, según la información disponible, permitiría a un atacante remoto y sin autenticación ejecutar código en servidores con HTTP/2 habilitado. La falla fue reportada por el OSS Scanner de Anthropic y, de forma independiente, por Google Cloud Vulnerability Research. Para cualquier organización con Apache expuesto a internet, es un parche que conviene ordenar de inmediato.

CVE-2026-119618 es una condición de carrera en mod_http2, el módulo que gestiona el tráfico HTTP/2. Cuando varios hilos acceden de forma indebida a recursos compartidos, puede producirse corrupción de memoria en el servidor. Red Hat, que asignó el CVSS de 9.8, la califica como crítica, y Apache la clasifica igualmente como crítica.