CISA nahm CVE-2026-111497 am 27. Oktober 2026 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) auf. Der Eintrag nennt jedoch weder PHP for Windows noch cURL als konkreten Angriffsweg. Ein Bericht über eine INCIBE-CERT-Warnung beschreibt eine mögliche PHP-Konfiguration, doch CISA bestätigt damit keine Angriffe auf diesen Pfad. CISA führt den Eintrag mit einer Frist bis zum 10. November 2026 und gibt an, dass der Einsatz in Ransomware-Kampagnen unbekannt ist.

Was CISA zur Schwachstelle sagt

CISA beschreibt CVE-2026-111497 als Schreibfehler außerhalb des vorgesehenen Speicherbereichs im Brotli-Decoder. Ein Angreifer kann laut CISA aus der Ferne und ohne Anmeldung einen manipulierten Brotli-Datenstrom verwenden. Mögliche Folgen sind eine Beschädigung des Decoderzustands, das Offenlegen sensibler Speicherinhalte, ein Denial-of-Service oder potenziell die Ausführung beliebigen Codes.

Der KEV-Eintrag stuft die Schwachstelle allgemein als bekannt ausgenutzt ein. Er benennt aber weder eine PHP-Installation noch die automatische cURL-Dekomprimierung als angegriffene Umgebung. Die Aufnahme in den Katalog ist deshalb keine Meldung über einen Angriff auf den beschriebenen PHP-Pfad.

Der berichtete PHP-for-Windows-Pfad

Moncloa.com berichtete am 30. Oktober, INCIBE-CERT habe die Warnung INCIBE-2026-808 am 29. Oktober veröffentlicht. Dem Bericht zufolge kann der Fehler PHP for Windows in den Zweigen 8.2 bis 8.5 betreffen, wenn ein Build eine verwundbare Brotli-Version enthält und die Anwendung über cURL eine Brotli-komprimierte HTTP-Antwort automatisch dekomprimiert.

Der Bericht nennt Brotli 1.0.3 bis 1.0.9, 1.1.0 und 1.2.0 als betroffene Versionen. Die automatische Dekomprimierung sei standardmäßig ausgeschaltet, könne aber von einer Anwendung oder Bibliothek aktiviert werden. PHP allein erfüllt demnach nicht die beschriebene Konfigurationsbedingung.

Gemeldete Windows-Pakete und Übergangsmaßnahme

Moncloa.com nennt die Windows-Pakete 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 als Neubauten mit Brotli 1.2.1. Der Bericht führt das Abschalten der automatischen cURL-Dekomprimierung als vorläufige Maßnahme an. Das entfernt die verwundbare Bibliothek nicht und ersetzt kein korrigiertes Paket.