La IA de Anthropic supera a los expertos de Google al detectar una vulnerabilidad en Apache que permite a hackers tomar el control del servidor

Se ha descubierto una vulnerabilidad crítica en Apache HTTP Server que permite ejecutar código arbitrario de forma remota en el servidor. Están en riesgo las versiones desde la 2.4.55 hasta la 2.4.70, y el fallo peligroso fue hallado simultáneamente por especialistas de Google y por el sistema de inteligencia artificial de Anthropic.

11 de noviembre Apache Software Foundation publicó la versión 2.4.71, que corrige tres vulnerabilidades. La más peligrosa recibió el identificador CVE-2026-119618 y un nivel de gravedad crítico. El problema afecta a mod_http2, el módulo del servidor web que gestiona las conexiones por el protocolo HTTP/2. Red Hat valoró la gravedad en 9,8 sobre 10 según la escala CVSS 3.

La vulnerabilidad se produce en la función assign_headers(), que procesa los encabezados HTTP. Varios hilos pueden acceder simultáneamente a datos compartidos sin la sincronización adecuada. Como resultado se corrompe la memoria del montón donde el programa guarda datos asignados dinámicamente. En determinadas condiciones, un atacante puede aprovechar la corrupción de memoria para ejecutar su propio código.

La particularidad del fallo está relacionada con el procesamiento paralelo de peticiones. HTTP/2 permite enviar varias peticiones por una única conexión, lo que mejora el rendimiento pero complica la gestión de recursos compartidos. Anteriormente, los investigadores ya habían encontrado problemas similares en mod_http2, incluida una vulnerabilidad de doble liberación de memoria que se corrigió en la primavera de 2026.

La primera en detectar la nueva brecha fue la herramienta Anthropic OSS Scanner, que registró el hallazgo bajo la designación ANT-2026-MAPKT6MZ. La empresa notificó a los desarrolladores de Apache el 26 de octubre. De forma independiente a Anthropic, el problema lo encontraron Anthony Wims y Simon Scannell del equipo Google Cloud Vulnerability Research. Su informe llegó el 3 de noviembre. También son vulnerables ciertas versiones de mod_h2 desde la 2.0.8 hasta la 2.0.42, distribuidas a través de GitHub.

El segundo fallo, CVE-2026-106023, recibió un nivel de gravedad alto. El módulo mod_md puede desreferenciar un puntero nulo al procesar una petición HTTP, lo que provoca el cierre inesperado del proceso hijo del servidor. El problema afecta a las versiones desde la 2.4.30 hasta la 2.4.70. La tercera vulnerabilidad, CVE-2026-109163, está relacionada con una sobreescritura de un byte en la memoria de la pila en mod_vhost_alias y afecta a las versiones 2.4.69 y 2.4.70.

Según el boletín oficial, las tres fallas están corregidas en Apache HTTP Server 2.4.71. Los desarrolladores recomiendan actualizar a la nueva versión. No hay datos confirmados sobre la explotación de la vulnerabilidad crítica en ataques reales en el momento de la publicación. El propio boletín tampoco contiene un exploit listo para usar ni indicaciones de condiciones adicionales necesarias por parte de un atacante.

Para los administradores es especialmente importante verificar si está cargado el módulo mod_http2 y la versión real del paquete del servidor. HTTP/2 ya causó problemas graves de disponibilidad en servidores web. Por ejemplo, el ataque HTTP/2 Bomb permitía agotar rápidamente la memoria de Apache, nginx y otros servidores. Sin embargo, la nueva falla es más peligrosa por sus posibles consecuencias, ya que no solo permite fallos, sino también la ejecución de código.