Em 26 de outubro de 2026, a equipe do PHP anunciou pacotes oficiais reconstruídos para Windows com Brotli 1.2.1, que corrige a CVE-2026-111497. A falha ocorre durante a descompressão Brotli; o caminho descrito pelo PHP passa pela extensão cURL quando a descompressão automática de respostas HTTP está ativada.
Pacotes do PHP para Windows com Brotli 1.2.1
O anúncio do PHP lista quatro pacotes reconstruídos, para as versões 8.2 a 8.5:
| Ramo do PHP | Pacote para Windows | Versão do Brotli |
| 8.2 | 8.2.35-1 | 1.2.1 |
| 8.3 | 8.3.36-1 | 1.2.1 |
| 8.4 | 8.4.27-1 | 1.2.1 |
| 8.5 | 8.5.12-1 | 1.2.1 |
O que a CVE-2026-111497 corrige
O PHP descreve a CVE-2026-111497 como uma gravação fora dos limites durante a descompressão Brotli. Isso significa que o decodificador pode gravar dados além da área de memória prevista. O componente afetado é o Brotli incluído nos pacotes, não o núcleo da linguagem PHP.
A falha é diferente das vulnerabilidades PHP2Shell abordadas na cobertura anterior do NeoTeo, que tratou das CVE-2026-109618 e CVE-2026-109619.
Quando o cURL pode acionar o decodificador
O caminho descrito pelo PHP depende de a extensão cURL no Windows descomprimir automaticamente uma resposta HTTP. O cURL deixa essa opção desativada por padrão, mas uma aplicação ou biblioteca de cliente HTTP pode ativá-la.
O The Hacker News relatou que o handler cURL do Guzzle define CURLOPT_ENCODING como vazio por padrão, o que habilita os formatos aceitos pelo cURL. O veículo também informou que não testou esse cenário no Windows.
Como identificar o pacote reconstruído
O sufixo -1 identifica a reconstrução do pacote Windows com dependências atualizadas. O código-fonte e a versão de execução do PHP permanecem iguais, então php -v não distingue a reconstrução. Compare o identificador do pacote instalado com a lista acima. O anúncio oficial do PHP contém os detalhes dos pacotes.
