Новости PHP

PHP CVE-2026-111497: обновления Windows-сборок PHP исправляют уязвимость Brotli

26 октября 2026 года PHP Foundation выпустила обновлённые Windows-сборки PHP 8.2–8.5 с Brotli 1.2.1 для исправления CVE-2026-111497.

27 октября 2026, 20:07 2 мин чтения

Рейтинг 4.5 15 оценок

Рабочее место разработчика с ноутбуком на Windows при установке обновлений безопасности PHP

26 октября 2026 года команда PHP выпустила обновлённые Windows-сборки версий 8.2.35-1, 8.3.36-1, 8.4.27-1 и 8.5.12-1. Пакеты включают Brotli 1.2.1 и устраняют уязвимость PHP CVE-2026-111497. Изменения касаются только сборок для Windows, исходный код и версии PHP остались прежними.

Уязвимость PHP CVE-2026-111497 в Brotli

CVE-2026-111497 представляет собой ошибку записи за границами буфера в библиотеке Brotli версий 1.0.3–1.2.0. Уязвимость позволяет повреждать память при обработке специально сформированных данных. В PHP на Windows проблема проявляется через расширение cURL при включённой автоматической декомпрессии HTTP-ответов, которая по умолчанию отключена.

Обслуживание серверного оборудования и обновление системных компонентов в дата-центре — Серверные сборки на Windows оперативно обновляют для защиты от уязвимостей в Brotli

Максимальная оценка CVSS достигает 9,2. Уязвимость затрагивает и другие проекты, включая Node.js и Python. На момент публикации эксплойтов, направленных именно на PHP, не зафиксировано, хотя публичные PoC существуют в других экосистемах. PHP Foundation рекомендует обновить сборки немедленно.

Суффикс «-1» в номерах сборок указывает на пересборку Windows-пакетов с обновлёнными зависимостями. Вывод команды php -v остаётся без изменений. Обновления доступны на windows.php.net и php.net/downloads.

Контекст и предыдущие обновления PHP

Новые пакеты вышли через пять дней после релизов 21 октября 2026 года, которые исправили критические уязвимости RCE (CVE-2026-109618 и CVE-2026-109619). Таким образом, пользователи Windows получили два последовательных обновления безопасности в течение одной недели.

Brotli применяется в PHP для сжатия HTTP-трафика. Проблема затрагивает только Windows-сборки, поскольку на других платформах используется системная версия библиотеки. Разработчикам, использующим PHP на Windows в связке с cURL или HTTP-клиентами, следует проверить настройки автоматической декомпрессии и установить новые пакеты.

Официальных заявлений от российских регуляторов или локальных зеркал на момент публикации не поступало. Рекомендация PHP Foundation распространяется на все Windows-развёртывания без региональных исключений.