# Apache corrige un fallo crítico de HTTP/2 que puede permitir la ejecución remota de código

El 11 de noviembre de 2026, Apache publicó la versión 2.4.71 de su HTTP Server, que corrige un fallo crítico en el módulo que gestiona las conexiones HTTP/2. Los servidores sin el parche que ejecutan las versiones 2.4.55 a 2.4.70 con HTTP/2 activado podrían permitir que un atacante ejecute código de forma remota.

- Página: https://www.cognivise.co.uk/es/news/fallo-http-2-apache-cve-2026-119618-que-revisar
- Original (inglés): https://www.cognivise.co.uk/news/apache-http-2-flaw-cve-2026-119618-what-check
- Tema: Mantener el software
- Publicado: 2026-11-12
- Actualizado: 2026-11-12
- Autor: Cognivise
- Fuente: Wordfence (press), PSA: Critical Apache HTTP/2 Vulnerability: What WordPress Site Owners Should Know (https://www.wordfence.com/blog/2026/11/cve-2026-119618-apache-http2/)

## Ideas clave

- Apache HTTP Server 2.4.71, publicado el 11 de noviembre de 2026, corrige CVE-2026-119618, un fallo crítico de HTTP/2 que afecta a las versiones 2.4.55 a 2.4.70.
- Solo están expuestos los servidores Apache que aceptan HTTP/2 a través del módulo afectado, y actualizar WordPress o sus plugins no lo soluciona.
- Pide a tu proveedor de hosting o a tu desarrollador que confirme que la corrección está instalada y que Apache se ha reiniciado, o que desactive HTTP/2 hasta que haya un paquete corregido.

## Qué corrigió Apache en la versión 2.4.71

El 11 de noviembre de 2026, Apache publicó HTTP Server 2.4.71 y un aviso de seguridad sobre CVE-2026-119618, un fallo en mod_http2, la parte de Apache que atiende las peticiones HTTP/2. Apache lo califica de crítico. Están afectadas las versiones 2.4.55 a 2.4.70, así como las versiones independientes de mod_h2 de la 2.0.8 a la 2.0.42, según un resumen publicado por [Wordfence](https://www.wordfence.com/blog/2026/11/cve-2026-119618-apache-http2/) el 12 de noviembre.

El OSS Scanner de Anthropic comunicó el fallo a Apache el 26 de octubre, y los investigadores de Google Cloud Vulnerability Research lo comunicaron de forma independiente el 3 de noviembre. Red Hat lo describe como una ejecución remota de código que no requiere iniciar sesión cuando HTTP/2 está activado. Un investigador ha publicado pruebas que muestran caídas en la 2.4.70, pero Wordfence no encontró ninguna demostración pública de ejecución de código, y Wiz no tenía constancia de ataques reales a fecha de 11 de noviembre.

## Qué servidores están expuestos

Apache es un software de servidor web que está detrás de muchos sitios web, entre ellos sitios de WordPress. Un ataque con éxito podría permitir a alguien ejecutar su propio código con los mismos privilegios que el servidor web y, por tanto, acceder a los sitios y datos alojados en esa máquina.

Solo están expuestos los servidores que aceptan HTTP/2 a través del módulo afectado. Apache usa HTTP/1.1 salvo que HTTP/2 esté activado en su configuración. Un sitio que ofrece HTTP/2 a sus visitantes puede estar detrás de una CDN o un balanceador de carga que se comunica con Apache por HTTP/1.1, así que lo que importa es cómo está configurado el propio Apache.

Actualizar WordPress, los plugins, los temas o un plugin de seguridad no lo soluciona. La corrección está en el software del servidor, que controla tu proveedor de hosting si tienes un hosting compartido o gestionado.

## Qué preguntar ahora a tu proveedor de hosting o a tu desarrollador

Los detalles son públicos desde el 11 de noviembre, así que conviene tratarlo como algo urgente en lugar de esperar a una actualización rutinaria.

- Si tienes un hosting compartido o gestionado, pregunta a tu proveedor si el servidor Apache de tu sitio acepta HTTP/2 (h2 o h2c), si la corrección de CVE-2026-119618 está instalada y si Apache se reinició después.
- Si el servidor lo gestionas tú o tu desarrollador, instala la 2.4.71 o el paquete corregido de tu proveedor y reinicia Apache. Los proveedores de sistemas operativos, paneles de control y contenedores pueden distribuir la corrección con otro número de versión, así que sigue su aviso en lugar de fijarte solo en el número.
- Si todavía no hay corrección disponible, pide que se desactive HTTP/2 en Apache hasta que la haya y luego vuelve a activarlo. Según Red Hat, un servidor que solo gestiona tráfico HTTP/1.1 no corre riesgo por este fallo.
- Asegúrate de tener una copia de seguridad reciente tanto de los archivos del sitio como de su base de datos. No evitará un ataque, pero facilita la recuperación.

Si no tienes claro quién debe aplicar las correcciones del servidor, revisa tu [contrato de mantenimiento de software](https://www.cognivise.co.uk/blog/software-maintenance-contract-guide) antes del próximo fallo como este. Cognivise ofrece [soporte y mantenimiento continuos](https://www.cognivise.co.uk/es/servicios/soporte-y-mantenimiento-de-software) para empresas que no tienen a nadie claramente responsable de sus servidores.

## Relacionados

- [Soporte y mantenimiento continuos](https://www.cognivise.co.uk/es/servicios/soporte-y-mantenimiento-de-software)
- [Contratos de mantenimiento de software: qué incluye uno justo](https://www.cognivise.co.uk/blog/software-maintenance-contract-guide)
- [¿Qué debería cubrir el soporte de software después del lanzamiento?](https://www.cognivise.co.uk/blog/what-application-support-covers)