CISA añadió CVE-2026-111497 a su catálogo de vulnerabilidades conocidas y explotadas (KEV) el 27 de octubre de 2026. La ficha no identifica PHP para Windows ni cURL como la vía explotada. El 30 de octubre, Moncloa.com informó de una alerta de INCIBE-CERT fechada el día 29 sobre una posible ruta de exposición en PHP para Windows.
Qué indica la ficha de CISA
CISA describe un fallo de escritura fuera de los límites en el decodificador Brotli: un atacante remoto sin autenticar podría enviar un flujo manipulado y provocar corrupción del estado del decodificador, divulgación de memoria sensible, denegación de servicio o, potencialmente, ejecución de código. La agencia añadió el CVE a KEV el 27 de octubre y consignó el 10 de noviembre de 2026 como fecha límite. También indica que se desconoce su uso en campañas de ransomware. Catálogo KEV de CISA
La condición comunicada para PHP en Windows
Según los detalles de la alerta publicados por Moncloa.com, la ruta descrita requiere una compilación de PHP para Windows con una versión vulnerable de Brotli y una aplicación que active la descompresión automática de respuestas mediante cURL. El artículo señala que esa opción está desactivada de forma predeterminada, aunque una aplicación o biblioteca puede habilitarla.
La información publicada identifica como afectadas las versiones de Brotli 1.0.3–1.0.9, 1.1.0 y 1.2.0. Por tanto, el dato de KEV se refiere al CVE en general; por sí solo no identifica qué instalaciones de PHP utilizan esa ruta.
Paquetes y medida temporal comunicados
Moncloa.com informó de que los paquetes de PHP para Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1 se reconstruyeron con Brotli 1.2.1. El mismo artículo indicó que desactivar temporalmente la descompresión automática de cURL puede reducir la exposición a esa ruta, pero no elimina la biblioteca vulnerable ni sustituye una compilación corregida.
