Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en HTTP Server de Apache

Resumen de la alerta

Apache Software Foundation ha publicado una actualización de seguridad para Apache HTTP Server que corrige 20 vulnerabilidades. Tres de ellas están clasificadas como críticas: CVE-2026-57941, CVE-2026-56154 y CVE-2026-59797.

Los fallos pueden afectar a la estabilidad, confidencialidad y seguridad de los servidores web expuestos, ya que una explotación podría permitir, según el caso, alterar la memoria de un proceso, provocar denegaciones de servicio, ejecutar funciones relacionadas con archivos con los privilegios del servidor web, divulgar información, eludir controles de autenticación, manipular tráfico HTTP o establecer conexiones con sistemas no autorizados.

La información disponible indica que no existe explotación conocida de las tres vulnerabilidades críticas identificadas. No obstante, las organizaciones con instancias afectadas deberían priorizar la actualización, especialmente cuando utilicen los módulos implicados.

Recursos afectados

El aviso afecta a Apache HTTP Server en las versiones comprendidas entre la 2.4.0 y la 2.4.68.

Algunas de las vulnerabilidades publicadas solo afectan a determinados módulos, configuraciones o rangos concretos dentro de estas versiones.

Descripción de las vulnerabilidades

Las tres vulnerabilidades críticas detalladas en el aviso se localizan en módulos distintos de Apache HTTP Server y presentan condiciones técnicas diferentes.

• CVE-2026-57941: vulnerabilidad de uso de memoria después de haber sido liberada en mod_http2. El problema está relacionado con la reutilización de la estructura compartida session->bbtmp. Este tipo de fallo ocurre cuando un proceso intenta utilizar una zona de memoria que ya no debería estar disponible, lo que puede derivar en alteraciones de memoria o en la interrupción del servicio afectado.
• CVE-2026-56154: vulnerabilidad de uso de memoria después de haber sido liberada en mod_rewrite. Se produce al emplear expresiones de búsqueda anticipada del tipo %{LA-U:HTTP:…}. Su explotación podría ocasionar comportamientos inesperados o finalizar el proceso afectado.
• CVE-2026-59797: vulnerabilidad de gestión inadecuada de privilegios en mod_ssl. Las directivas SSLRequire podrían permitir el empleo de funciones relacionadas con archivos desde configuraciones .htaccess, ejecutándose con los privilegios del servidor web.

Además de estas tres vulnerabilidades críticas, la actualización publicada por Apache Software Foundation aborda otros problemas que pueden estar relacionados con denegación de servicio, divulgación de información, controles de autenticación, manipulación de peticiones o respuestas HTTP y conexiones a sistemas no autorizados.

Impacto y nivel de riesgo

La severidad crítica de CVE-2026-57941, CVE-2026-56154 y CVE-2026-59797 justifica una revisión prioritaria de los servidores Apache HTTP Server desplegados en la organización.

En el caso de los fallos de memoria en mod_http2 y mod_rewrite, el impacto potencial indicado incluye la corrupción o alteración de memoria y la denegación de servicio. Una denegación de servicio puede impedir que el servidor web procese solicitudes con normalidad, afectando a la disponibilidad de aplicaciones, portales corporativos o servicios publicados.

Por su parte, el problema en mod_ssl puede dar lugar a la ejecución de funciones relacionadas con archivos con los privilegios del servidor web, cuando se den las condiciones descritas en el aviso. La gestión incorrecta de privilegios puede aumentar el impacto de una acción no autorizada al permitir que se ejecute con permisos superiores a los esperados.

La fuente consultada identifica las tres vulnerabilidades críticas con estado de explotación No. Por tanto, el aviso describe un riesgo potencial que debe corregirse, pero no confirma ataques activos ni explotación conocida de estos CVE.

Solución y medidas recomendadas

La solución indicada es actualizar Apache HTTP Server a la versión 2.4.69.

Antes de desplegar la actualización en entornos productivos, resulta recomendable aplicar los procedimientos internos de gestión de cambios, validar la compatibilidad con las aplicaciones dependientes y verificar el funcionamiento de los módulos necesarios tras la actualización.

Recomendaciones para organizaciones afectadas

1. Identificar los servidores que ejecutan Apache HTTP Server entre las versiones 2.4.0 y 2.4.68.
2. Priorizar los sistemas que tengan habilitados mod_http2, mod_rewrite o mod_ssl, dado que los tres CVE críticos detallados afectan a estos módulos.
3. Planificar e instalar la actualización a Apache HTTP Server 2.4.69 conforme a los procesos de cambio de la organización.
4. Revisar específicamente las configuraciones que utilicen expresiones %{LA-U:HTTP:…} en mod_rewrite y las directivas SSLRequire desde archivos .htaccess en mod_ssl, ya que están relacionadas con las vulnerabilidades críticas descritas.
5. Verificar tras la actualización la disponibilidad de los servicios web y el comportamiento de las aplicaciones publicadas.