Canonical publicó el 12 de noviembre de 2026 una actualización de seguridad para Apache HTTP Server en varias versiones de Ubuntu. El aviso reúne cinco fallos con consecuencias distintas: desde caídas del servidor hasta la posible ejecución de código. Quienes administran sistemas afectados deben comprobar el estado del paquete instalado y aplicar la actualización correspondiente a su edición.
Cinco fallos en módulos diferentes
Una de las vulnerabilidades, CVE-2026-109163, afecta a mod_vhost_alias, un módulo para configurar sitios virtuales mediante nombres de host. Algunas solicitudes pueden provocar una escritura de un byte fuera de los límites de un búfer en la pila. Apache clasifica el fallo como de baja gravedad; Canonical advierte que podría causar una denegación de servicio o, potencialmente, permitir la ejecución de código. El proyecto Apache indica que afecta a las versiones 2.4.69 y 2.4.70.
CVE-2026-119618 afecta a mod_http2, que procesa conexiones HTTP/2. La corrupción de memoria al manejar ciertas cabeceras puede provocar la caída del servidor o la ejecución de código. El aviso de Ubuntu no especifica en qué condiciones se podría ejecutar código; el proyecto Apache describe el fallo como crítico y señala que afecta a Apache HTTP Server de la versión 2.4.55 a la 2.4.70.
En CVE-2026-42356, Apache puede tratar como programa CGI el destino de ciertas redirecciones internas iniciadas por programas CGI. La ejecución solo es posible bajo condiciones concretas: el destino debe estar en un directorio habilitado para CGI y no tener otra extensión reconocida por mod_mime. Este fallo afecta a Apache 2.4.60–2.4.68, pero el aviso de Ubuntu limita su impacto a Ubuntu 26.04 LTS y 26.10.
Los otros dos fallos descritos en el aviso causan denegación de servicio. CVE-2026-42528 afecta a mod_dav: un cálculo incorrecto de memoria al gestionar bloqueos WebDAV puede tumbar procesos del servidor, y el atacante necesita permiso para crear esos bloqueos. CVE-2026-106023 afecta a mod_md; ciertas condiciones pueden causar una desreferencia de puntero nulo y la caída del servidor. Para este último, Ubuntu señala como afectadas las ediciones 20.04, 22.04, 24.04, 26.04 y 26.10.
El alcance cambia según la vulnerabilidad y la versión de Ubuntu. Por eso, que una edición aparezca en el aviso no significa que todos los fallos se apliquen a ella: conviene consultar el estado de cada paquete en el aviso USN-9090-1 de Ubuntu. El registro de seguridad de Apache HTTP Server aporta las versiones afectadas en el proyecto original, que pueden diferir de las versiones de paquetes mantenidas por Ubuntu.
Aplicar la actualización correspondiente
Canonical indica que una actualización normal del sistema instala las correcciones. Entre las versiones corregidas figuran 2.4.68-1ubuntu6.2 para Ubuntu 26.10, 2.4.66-2ubuntu2.8 para 26.04 LTS, 2.4.58-1ubuntu8.19 para 24.04 LTS y 2.4.52-1ubuntu4.27 para 22.04 LTS. Ubuntu 20.04 y ediciones anteriores reciben estos parches mediante Ubuntu Pro; en 16.04 y 14.04 hace falta además el complemento Legacy Support.
En servidores de producción, el administrador debe comparar la versión instalada con la indicada para su edición y aplicar el parche mediante el procedimiento habitual de mantenimiento. El aviso no propone una mitigación temporal equivalente. Si no es posible actualizar de inmediato, revisar la exposición de los módulos afectados puede ayudar a reducir riesgos, pero la medida depende de la configuración y no sustituye la instalación de la corrección.