Le 26 octobre 2026, l’équipe PHP a annoncé quatre paquets officiels pour Windows reconstruits avec Brotli 1.2.1, qui corrige CVE-2026-111497. PHP décrit cette faille comme une écriture hors limites pendant la décompression Brotli. Elle concerne le décodeur, pas le cœur du langage PHP. L’annonce de PHP donne les versions concernées.
Les quatre paquets Windows corrigés
| Branche PHP | Paquet Windows reconstruit | Version de Brotli incluse |
| 8.2 | 8.2.35-1 | 1.2.1 |
| 8.3 | 8.3.36-1 | 1.2.1 |
| 8.4 | 8.4.27-1 | 1.2.1 |
| 8.5 | 8.5.12-1 | 1.2.1 |
La faille Brotli est distincte des vulnérabilités PHP2Shell, abordées dans notre article précédent sur PHP2Shell.
La décompression automatique est la condition liée à cURL
Sous Windows, l’extension cURL de PHP peut appeler le décodeur Brotli lorsque la décompression automatique des réponses HTTP est activée. cURL la laisse désactivée par défaut, mais une application ou une bibliothèque HTTP peut l’activer.
The Hacker News a rapporté que le gestionnaire cURL de Guzzle définit par défaut CURLOPT_ENCODING sur une chaîne vide, ce qui active tous les formats pris en charge par cURL. Le média a décrit le scénario d’attaque comme une réponse compressée spécialement conçue, renvoyée par un serveur contacté par l’application PHP. Il a précisé ne pas avoir testé ce scénario sous Windows.
Le suffixe -1 distingue le paquet reconstruit
La reconstruction met à jour les dépendances sans modifier le code source ni la version d’exécution de PHP. Le numéro affiché par php -v ne suffit donc pas à repérer le nouveau paquet : c’est le suffixe -1 dans son nom qui signale la reconstruction.
