Il 27 ottobre 2026 CISA ha inserito CVE-2026-111497 nel catalogo Known Exploited Vulnerabilities (KEV), che raccoglie vulnerabilità note come sfruttate. La voce non indica PHP per Windows né cURL come percorso degli attacchi. CISA descrive il CVE come una vulnerabilità del decoder Brotli e fissa al 10 novembre la data di scadenza associata alla voce; per l’uso in campagne ransomware, indica che non è noto.
Che cosa comporta la voce KEV
CISA descrive un possibile attacco remoto, senza autenticazione, tramite un flusso Brotli creato ad arte. La vulnerabilità può corrompere lo stato del decoder e portare alla divulgazione di dati presenti in memoria, a un’interruzione del servizio o, potenzialmente, all’esecuzione di codice. L’inserimento in KEV riguarda CVE-2026-111497 nel suo complesso: non identifica PHP per Windows o la decompressione automatica di cURL come percorso sfruttato.
La configurazione PHP per Windows segnalata
Moncloa.com ha riferito il 30 ottobre che INCIBE-CERT aveva datato al 29 ottobre l’allerta INCIBE-2026-808. Secondo il resoconto, alcune configurazioni di PHP per Windows, nei rami dalla versione 8.2 alla 8.5, possono raggiungere il decoder vulnerabile quando cURL decomprime automaticamente una risposta HTTP compressa con Brotli. Il resoconto indica che la decompressione automatica è disattivata per impostazione predefinita, ma può essere attivata da un’applicazione o da una libreria.
Le versioni di Brotli indicate come coinvolte sono 1.0.3–1.0.9, 1.1.0 e 1.2.0. La condizione descritta riguarda quindi la combinazione di una build con una versione vulnerabile e un’applicazione che attiva quel percorso di decompressione.
Pacchetti e misura temporanea riportati
Moncloa.com ha indicato come ricostruiti i pacchetti PHP per Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, con Brotli 1.2.1. Lo stesso resoconto descrive la disattivazione della decompressione automatica di cURL come misura temporanea per ridurre l’esposizione al percorso segnalato: non rimuove la libreria vulnerabile.
