CISA a ajouté CVE-2026-111497 à son catalogue des vulnérabilités exploitées, KEV, le 27 octobre 2026. Cette inscription concerne le CVE dans son ensemble : elle ne désigne pas PHP pour Windows ni cURL comme voie d’attaque. Un compte rendu publié le 30 octobre attribue à INCIBE-CERT une alerte datée du 29 octobre sur une exposition possible liée à Brotli et à la décompression automatique de cURL.
Ce que l’inscription de CISA indique
La fiche de CISA décrit une écriture hors limites dans le décodeur Brotli. Un attaquant distant sans authentification pourrait envoyer un flux Brotli spécialement conçu pour corrompre l’état du décodeur, divulguer des données en mémoire, provoquer un déni de service ou potentiellement exécuter du code. La fiche indique une échéance au 10 novembre 2026 et précise que l’utilisation dans des campagnes de rançongiciel est inconnue.
La configuration PHP pour Windows rapportée
Dans un article publié le 30 octobre, Moncloa.com rapporte qu’INCIBE-CERT a émis l’alerte INCIBE-2026-808, datée du 29 octobre. Selon ce compte rendu, le risque concerne des compilations de PHP pour Windows contenant une version vulnérable de Brotli, lorsque l’extension cURL décompresse automatiquement une réponse HTTP compressée avec Brotli. L’article indique que cette option est désactivée par défaut, mais qu’une application ou une bibliothèque peut l’activer.
Les versions de Brotli signalées comme concernées sont 1.0.3 à 1.0.9, 1.1.0 et 1.2.0. Le compte rendu situe le chemin d’exposition dans les branches PHP pour Windows 8.2 à 8.5, sous réserve de cette combinaison avec cURL.
Paquets et mesure temporaire mentionnés
Moncloa.com cite les identifiants 8.5.12-1, 8.4.27-1, 8.3.36-1 et 8.2.35-1 pour des paquets Windows reconstruits avec Brotli 1.2.1. L’article présente aussi la désactivation de la décompression automatique de cURL comme une mesure temporaire pour réduire l’exposition à ce chemin, en attendant une mise à jour. Elle ne remplace pas la mise à jour de la bibliothèque vulnérable.
