Zespół PHP ogłosił 26 października 2026 r. przebudowane pakiety dla Windows z Brotli 1.2.1, które naprawiają CVE-2026-111497. PHP opisuje tę lukę jako zapis poza granicami pamięci podczas dekompresji Brotli. Wskazana ścieżka przez cURL zależy od włączenia automatycznej dekompresji odpowiedzi HTTP.
Które pakiety Windows zawierają poprawkę
Ogłoszenie zespołu PHP wymienia cztery przebudowane pakiety. Każdy zawiera Brotli 1.2.1.
| Gałąź PHP | Pakiet dla Windows | Wersja Brotli |
| 8.2 | 8.2.35-1 | 1.2.1 |
| 8.3 | 8.3.36-1 | 1.2.1 |
| 8.4 | 8.4.27-1 | 1.2.1 |
| 8.5 | 8.5.12-1 | 1.2.1 |
Luka dotyczy dekompresji Brotli
Zapis poza granicami pamięci oznacza, że dekoder zapisuje dane poza przydzielonym obszarem. PHP wskazuje ten błąd w dekompresji Brotli, a nie w rdzeniu języka PHP.
Kiedy cURL może uruchomić podatny dekoder
Wtyczka cURL w PHP dla Windows może dotrzeć do dekodera Brotli podczas automatycznego rozpakowywania odpowiedzi HTTP. cURL pozostawia tę funkcję domyślnie wyłączoną, ale aplikacja lub biblioteka HTTP może ją włączyć.
The Hacker News opisał Guzzle jako przykład takiej konfiguracji: handler cURL tej biblioteki domyślnie ustawia pustą wartość CURLOPT_ENCODING, co włącza formaty obsługiwane przez cURL. Serwis zaznaczył, że nie testował tego scenariusza w Windows.
Jak rozpoznać przebudowany pakiet
Końcówka -1 oznacza pakiet Windows przebudowany ze zaktualizowanymi zależnościami. Kod źródłowy i wersja runtime PHP pozostały bez zmian, więc samo php -v nie odróżnia nowego pakietu od poprzedniego. Rozpoznasz go po identyfikatorze pakietu, takim jak 8.4.27-1.
