El 26 de octubre de 2026, el equipo de PHP anunció cuatro paquetes reconstruidos para Windows con Brotli 1.2.1, que corrige CVE-2026-111497. PHP describe el fallo como una escritura fuera de límites durante la descompresión de Brotli; la ruta indicada en Windows pasa por cURL cuando está activada la descompresión automática de respuestas HTTP.
Paquetes de PHP para Windows con Brotli 1.2.1
PHP enumeró estas versiones reconstruidas:
| Rama de PHP | Paquete actualizado para Windows | Brotli incluido |
| 8.2 | 8.2.35-1 | 1.2.1 |
| 8.3 | 8.3.36-1 | 1.2.1 |
| 8.4 | 8.4.27-1 | 1.2.1 |
| 8.5 | 8.5.12-1 | 1.2.1 |
Puedes localizar los paquetes en las descargas oficiales de PHP para Windows.
Qué corrige CVE-2026-111497
El fallo está en el decodificador de Brotli, que procesa datos comprimidos, no en el núcleo del lenguaje PHP. Una escritura fuera de límites ocurre cuando un programa escribe más allá del espacio de memoria reservado para esos datos; PHP identifica esa vulnerabilidad en la descompresión de Brotli.
La cobertura anterior de NeoTeo sobre PHP2Shell y sus vulnerabilidades trató CVE-2026-109618 y CVE-2026-109619. Esta actualización aborda un CVE distinto, en la dependencia Brotli.
La ruta de cURL depende de la descompresión automática
En Windows, la extensión cURL de PHP puede invocar el decodificador afectado al descomprimir automáticamente una respuesta HTTP. cURL deja esa función desactivada por defecto, aunque una aplicación o una biblioteca HTTP puede activarla.
The Hacker News describió el controlador cURL de Guzzle como configurado para permitir todos los formatos compatibles con cURL mediante un valor vacío en CURLOPT_ENCODING. El medio precisó que no había probado ese escenario en Windows, así que el ejemplo no permite concluir que una aplicación concreta esté expuesta.
Cómo reconocer la reconstrucción
El sufijo -1 identifica el paquete de Windows reconstruido con dependencias actualizadas. El código fuente y la versión de ejecución de PHP no cambian, así que esa versión de PHP por sí sola no diferencia el paquete corregido.
