Múltiples vulnerabilidades en HTTP Server de Apache
INCIBE-CERT avisos · 2 oct, 10:22
Apache Software Foundation ha publicado 20 vulnerabilidades en Apache HTTP Server 2.4.0 a 2.4.68, incluyendo 3 de severidad crítica que podrían permitir ejecución de código arbitrario, denegación de servicio y divulgación de información. La solución es actualizar a la versión 2.4.69.
Las tres vulnerabilidades críticas afectan a módulos específicos del servidor. CVE-2026-57941 es un uso después de liberación en mod_http2 causado por reutilización de estructuras compartidas (session->bbtmp), que podría alterar la memoria del proceso o provocar DoS. CVE-2026-56154 afecta a mod_rewrite con expresiones de búsqueda anticipada (%{LA-U:HTTP:...}), también un uso después de liberación que causa comportamiento inesperado o interrupción del proceso. CVE-2026-59797 es un problema de gestión de privilegios en mod_ssl donde directivas SSLRequire podrían permitir funciones de manipulación de archivos desde configuraciones .htaccess ejecutándose con privilegios del servidor web.
Ninguna de estas vulnerabilidades cuenta con explotación conocida en el momento de la publicación. Apache HTTP Server es ampliamente utilizado en infraestructuras web, lo que hace relevante esta actualización para la mayoría de organizaciones que lo despliegan.
Puntos clave
- Actualizar Apache HTTP Server a versión 2.4.69
- Tres vulnerabilidades críticas sin explotación activa conocida
- Afectan a módulos mod_http2, mod_rewrite y mod_ssl
- Riesgos incluyen RCE, DoS y divulgación de información