Apache httpd 2.2 (EOL)

Por qué entonces

Apache 2.2 fue el caballo de batalla de toda una generación. Era libre, corría en cualquier Unix, tenía módulos para todo y venía empaquetado en las distribuciones que se instalaban en los centros de datos públicos (RHEL 5 y 6, que se compraban con soporte a diez años precisamente para no tener que tocar nada).

Qué pasó

La Apache Software Foundation publicó la última versión de la rama 2.2 en julio de 2017 y la declaró fin de vida. Toda la evolución se fue a la 2.4, que había salido en 2012.

Por qué está mal hoy

Sin parches desde 2017. Pero el problema práctico suele ser otro: una configuración de Apache 2.2 arrastra la sintaxis y los cifrados de su época, así que estos servidores suelen venir acompañados de TLS antiguo, suites de cifrado débiles y módulos que ya nadie audita.

En lo público

Un Apache 2.2 vivo suele significar que debajo hay un sistema operativo igual de antiguo, porque casi siempre llegó con la distribución. El hallazgo no es el servidor web: es la máquina entera.

El arreglo

Actualizar el sistema base y pasar a Apache 2.4 (la sintaxis de control de acceso cambió, no es un reemplazo directo) o poner nginx delante.