A CISA incluiu o CVE-2026-111497 no catálogo de Vulnerabilidades Conhecidamente Exploradas (KEV) em 27 de outubro de 2026. A entrada classifica o CVE como conhecido explorado, mas não identifica PHP para Windows nem cURL como rota de ataque. A ficha da CISA registra 10 de novembro como prazo e diz que o uso em campanhas de ransomware é desconhecido.
A CISA descreve uma falha no decodificador Brotli: um fluxo preparado pode corromper seu estado, expor memória sensível, causar negação de serviço ou, potencialmente, permitir execução de código arbitrário. Esses impactos se referem ao CVE, não a um ataque identificado contra uma instalação específica de PHP.
A condição relatada para PHP no Windows
Em notícia publicada em 30 de outubro, o Moncloa.com informou que a INCIBE-CERT havia emitido o alerta INCIBE-2026-808 em 29 de outubro. O relato associa a exposição a determinadas versões do PHP para Windows que incluem Brotli vulnerável, quando o cURL descompacta automaticamente uma resposta HTTP comprimida com Brotli.
Segundo o mesmo relato, a descompressão automática vem desativada por padrão, mas uma aplicação ou biblioteca pode ativá-la. As versões do Brotli apontadas como afetadas são 1.0.3–1.0.9, 1.1.0 e 1.2.0.
Pacotes e medida temporária relatados
O Moncloa.com listou como recompilados os pacotes PHP para Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, com Brotli 1.2.1. O relato também menciona desativar a descompressão automática do cURL como medida temporária para reduzir a exposição por essa rota. Isso não remove a biblioteca vulnerável.
