Das PHP-Team hat am 26. Oktober 2026 vier offizielle Windows-Pakete mit Brotli 1.2.1 neu aufgebaut. Die Bibliotheksversion behebt CVE-2026-111497, eine Schwachstelle beim Dekomprimieren von Brotli-Daten. Der von PHP beschriebene Weg über cURL setzt voraus, dass die automatische Dekomprimierung von HTTP-Antworten aktiviert ist.
Diese Windows-Pakete enthalten Brotli 1.2.1
| PHP-Zweig | Aktualisiertes Windows-Paket | Brotli-Version |
| 8.2 | 8.2.35-1 | 1.2.1 |
| 8.3 | 8.3.36-1 | 1.2.1 |
| 8.4 | 8.4.27-1 | 1.2.1 |
| 8.5 | 8.5.12-1 | 1.2.1 |
PHP beschreibt CVE-2026-111497 als Schreibzugriff außerhalb des vorgesehenen Speicherbereichs, einen sogenannten Out-of-bounds-Write, während der Brotli-Dekomprimierung. Betroffen ist damit der Brotli-Decoder im beschriebenen Paketpfad, nicht der PHP-Kern. Das unterscheidet den Fall von den zuvor behandelten PHP2Shell-Schwachstellen im PHP-Kern.
Wann der beschriebene cURL-Pfad greift
Die PHP-Erweiterung cURL kann den fehlerhaften Decoder unter Windows aufrufen, wenn sie HTTP-Antworten automatisch dekomprimiert. Laut PHP ist diese Funktion in cURL standardmäßig ausgeschaltet; eine Anwendung oder eine HTTP-Client-Bibliothek kann sie jedoch aktivieren.
Als Beispiel berichtete The Hacker News über Guzzles cURL-Handler: Ein standardmäßig leerer Wert für CURLOPT_ENCODING ermögliche die von cURL unterstützten Kodierungen. The Hacker News zufolge wurde dieses Szenario nicht unter Windows getestet. Das Beispiel beschreibt daher eine mögliche Konfiguration, keine bestätigte Aussage über eine bestimmte Anwendung.
Woran du das neu aufgebaute Paket erkennst
Der Zusatz -1 kennzeichnet laut PHP einen Windows-Paketneuaufbau mit aktualisierten Abhängigkeiten. PHP-Quellcode und Laufzeitversion blieben unverändert, deshalb weist php -v den Neuaufbau nicht aus. The Hacker News nennt den Suffix im Paketnamen und den SHA-256-Hash auf der PHP-Downloadseite als Erkennungsmerkmale.
