PHP lanza una segunda actualización de seguridad para Windows en cinco días para corregir una vulnerabilidad de ejecución de código de Brotli.

PHP ha recompilado sus paquetes oficiales para Windows (versiones 8.2 a 8.5) para corregir la vulnerabilidad CVE-2026-111497, un fallo en la biblioteca de compresión Brotli que incluyen dichos paquetes. Esta vulnerabilidad permite a un atacante corromper la memoria y, potencialmente, ejecutar código.

PHP indica que la vulnerabilidad puede explotarse a través de la extensión cURL cuando esta descomprime automáticamente las respuestas HTTP. cURL desactiva esta función por defecto, pero las aplicaciones y las bibliotecas cliente HTTP pueden activarla.

Los paquetes recompilados, con las versiones 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, se publicaron cinco días después de las versiones del 21 de octubre que corrigieron las dos vulnerabilidades de ejecución remota de código en PHP2Shell. Utilizan el mismo código fuente de PHP, por lo que las correcciones se mantienen, e incluyen ahora Brotli 1.2.1, la versión corregida.

PHP publica una lista de componentes de software con cada paquete. En las compilaciones x64 no seguras para subprocesos de la semana pasada, correspondientes a las cuatro versiones, las listas muestran Brotli 1.2.0, una de las versiones afectadas.

PHP recomienda a los usuarios de Windows instalar las nuevas compilaciones desde su página de descargas. Dado que la versión de PHP no ha cambiado, php -v muestra el mismo número antes y después. El "-1" en el nombre del archivo, como en php-8.5.12-1-nts-Win32-vs17-x64.zip, y el hash SHA-256 que aparece en la página de descargas identifican la nueva compilación.