El equipo de PHP publicó el 26 de octubre de 2026 nuevos paquetes oficiales para Windows que corrigen una vulnerabilidad en Brotli, la biblioteca usada para descomprimir datos. El fallo, identificado como CVE-2026-111497, puede alcanzarse mediante la extensión cURL cuando una aplicación habilita la descompresión automática de respuestas HTTP.
Las compilaciones incorporan Brotli 1.2.1. El anuncio llega cinco días después de las actualizaciones de PHP del 21 de octubre, que corrigieron otros dos fallos de ejecución remota de código.
El sufijo -1 identifica los paquetes corregidos
PHP anunció estas cuatro compilaciones para Windows:
- PHP 8.2.35-1.
- PHP 8.3.36-1.
- PHP 8.4.27-1.
- PHP 8.5.12-1.
El equipo explica que -1 marca una reconstrucción del paquete con dependencias actualizadas. El código fuente y la versión del runtime, el entorno que ejecuta PHP, permanecen iguales.
Esto tiene una consecuencia para comprobar la actualización: una instalación puede seguir identificándose como PHP 8.5.12 tanto antes como después de sustituir el paquete. Por tanto, revisar solo ese número deja fuera la diferencia que introduce la reconstrucción.
La página oficial de descargas ya identifica la rama 8.5 como 8.5.12-1 y muestra las huellas de integridad junto a los archivos. El nombre del paquete permite distinguir la nueva compilación dentro de una misma versión de PHP.
La exposición aparece al descomprimir respuestas externas
Según el aviso de PHP, cURL tiene desactivada por defecto la descompresión automática de respuestas. Las aplicaciones y las bibliotecas de clientes HTTP pueden habilitarla y hacer que el contenido recibido llegue al decodificador vulnerable.
La ruta descrita afecta a los datos que una aplicación obtiene de otro servidor. Por ello, la revisión de exposición incluye las conexiones que inicia el propio servicio y las opciones que activan sus dependencias.
La misma vulnerabilidad ya motivó parches para Node.js, publicados el 21 de octubre. Su aviso explica que una entrada Brotli malformada puede escribir fuera de un búfer interno y corromper la memoria del proceso. Entre las consecuencias posibles enumera cierres inesperados, divulgación de memoria y ejecución remota de código.
Para quienes instalaron las versiones de PHP del 21 de octubre en Windows, el nuevo aviso añade una comprobación del paquete utilizado. El equipo recomienda actualizar a las compilaciones reconstruidas, que incorporan la biblioteca Brotli corregida.
