CVE-2026-111497 trafiła do katalogu Known Exploited Vulnerabilities (KEV) prowadzonego przez CISA 27 października 2026 r. Wpis potwierdza, że podatność jest znana jako wykorzystywana, ale nie wskazuje PHP dla Windows ani cURL jako drogi ataku. 30 października Moncloa.com podał, że alert INCIBE-CERT dotyczący tej podatności nosił datę 29 października.
Co wynika z wpisu CISA
CISA opisała CVE-2026-111497 jako błąd zapisu poza zakresem w dekoderze Brotli. Według agencji zdalny, nieuwierzytelniony napastnik może użyć specjalnie spreparowanego strumienia Brotli, by uszkodzić stan dekodera, ujawnić dane z pamięci, spowodować odmowę usługi lub potencjalnie wykonać dowolny kod. Wpis CISA w katalogu KEV podaje termin działań naprawczych przypadający na 10 listopada 2026 r. oraz informuje, że wykorzystanie podatności w kampaniach ransomware jest nieznane.
Zgłoszona ścieżka przez PHP i cURL
Według relacji Moncloa.com z 30 października alert INCIBE-CERT, oznaczony INCIBE-2026-808 i datowany na 29 października, dotyczył konfiguracji PHP dla Windows, w której cURL automatycznie dekompresuje odpowiedź HTTP skompresowaną przy użyciu Brotli. Opisywana ścieżka wymaga kompilacji z podatną wersją Brotli oraz włączonej automatycznej dekompresji. Relacja podaje, że ta opcja jest domyślnie wyłączona, ale aplikacja lub biblioteka może ją włączyć.
W relacji jako podatne wymieniono wersje Brotli 1.0.3–1.0.9, 1.1.0 i 1.2.0. Samo korzystanie z PHP nie oznacza więc, że dana konfiguracja spełnia opisane warunki.
Zgłoszone pakiety i działanie tymczasowe
Moncloa.com wymienił przebudowane pakiety PHP dla Windows: 8.5.12-1, 8.4.27-1, 8.3.36-1 i 8.2.35-1. Według tej relacji zawierają Brotli 1.2.1.
Jako tymczasowe ograniczenie ekspozycji opisano wyłączenie automatycznej dekompresji cURL. Nie usuwa to podatnej biblioteki i nie zastępuje pakietu z poprawionym Brotli.
