Il 26 ottobre 2026 il team PHP ha annunciato quattro pacchetti Windows ricostruiti con Brotli 1.2.1 per correggere CVE-2026-111497. PHP descrive il difetto come una scrittura fuori dai limiti durante la decompressione Brotli; il percorso attraverso cURL riguarda le risposte HTTP quando è attiva la decompressione automatica.
I quattro pacchetti Windows aggiornati
| Ramo PHP | Pacchetto Windows | Brotli incluso |
| 8.2 | 8.2.35-1 | 1.2.1 |
| 8.3 | 8.3.36-1 | 1.2.1 |
| 8.4 | 8.4.27-1 | 1.2.1 |
| 8.5 | 8.5.12-1 | 1.2.1 |
Che cosa corregge CVE-2026-111497
Il difetto interessa Brotli, la libreria che decomprime i dati compressi: secondo PHP, durante la decompressione può verificarsi una scrittura oltre i limiti della memoria prevista. Il componente coinvolto è il decoder Brotli, non il nucleo del linguaggio PHP.
La vulnerabilità è distinta da CVE-2026-109618 e CVE-2026-109619, trattate nell’articolo di NeoTeo su PHP2Shell. Qui la correzione riguarda Brotli e il percorso di decompressione via cURL.
Quando entra in gioco cURL
PHP indica che il percorso interessato passa dall’estensione cURL di Windows quando questa decomprime automaticamente una risposta HTTP. cURL lascia disattivata la decompressione automatica per impostazione predefinita, ma un’applicazione o una libreria client può attivarla.
The Hacker News ha riferito che il gestore cURL di Guzzle imposta per impostazione predefinita CURLOPT_ENCODING su una stringa vuota, consentendo a cURL di accettare tutti i formati supportati. La testata ha precisato di non aver provato questo scenario su Windows.
Come riconoscere il pacchetto ricostruito
Il suffisso -1 contraddistingue i pacchetti Windows ricostruiti con dipendenze aggiornate. Il codice sorgente e la versione runtime di PHP restano invariati, quindi php -v non distingue da solo il pacchetto aggiornato: per riconoscerlo, controlla l’identificativo del pacchetto Windows installato.
