CISA nam CVE-2026-111497 op 27 oktober 2026 op in de Known Exploited Vulnerabilities-catalogus (KEV). Dat betekent dat de kwetsbaarheid als bekend misbruikt is geregistreerd, maar CISA noemt geen aanval via PHP voor Windows of cURL in de catalogusvermelding. De vermelding zegt ook dat gebruik in ransomwarecampagnes onbekend is. CISA
Wat de KEV-vermelding zegt
CVE-2026-111497 is een fout in de Brotli-decoder waarbij gegevens buiten de toegewezen geheugenruimte kunnen worden geschreven. CISA beschrijft een aanval op afstand waarvoor geen aanmelding nodig is: een aanvaller stuurt een speciaal samengestelde Brotli-stroom. De fout kan geheugeninformatie blootleggen, een denial-of-service veroorzaken of mogelijk willekeurige code uitvoeren. CISA vermeldde 10 november 2026 als uiterste datum bij de catalogusvermelding. CISA
Wat dit betekent voor PHP voor Windows
De KEV-vermelding koppelt het bekende misbruik aan CVE-2026-111497, maar wijst PHP voor Windows of cURL niet aan als aanvalspad. De catalogusstatus is dus geen aanwijzing dat juist die configuratie is aangevallen. Ze zegt evenmin dat zo’n aanval niet heeft plaatsgevonden. De vermelding noemt gebruik in ransomwarecampagnes expliciet onbekend.
