PHP aggiorna le build Windows per una falla critica in Brotli (CVE-2026-111497)

Il team PHP ha pubblicato il 26 ottobre 2026 nuove build Windows per tutte le versioni supportate, per correggere una vulnerabilità critica nella libreria di decompressione Brotli. Chi gestisce server Windows con PHP e usa l'estensione cURL per chiamate HTTP in uscita deve aggiornare.

Le versioni corrette

Le build aggiornate sono PHP 8.2.35-1, 8.3.36-1, 8.4.27-1 e 8.5.12-1, con Brotli 1.2.1 che corregge CVE-2026-111497, una vulnerabilità out-of-bounds write nella decompressione Brotli. Il suffisso -1 segna una ricompilazione del pacchetto Windows con dipendenze aggiornate: la versione sorgente e runtime di PHP non è cambiata.

Dove sta il rischio

Su Windows, l'estensione cURL di PHP può invocare il decoder vulnerabile quando è attiva la decompressione automatica delle risposte HTTP, disattivata di default in cURL ma abilitabile da applicazioni e librerie client HTTP. In pratica: se il codice o una libreria di terze parti impostano CURLOPT_ENCODING per accettare risposte compresse in Brotli, il server è esposto.

Il record CVE pubblico assegna alla falla un punteggio CVSS di 9.2 Critical, descrivendo un attaccante remoto non autenticato che può corrompere la memoria adiacente dello stato del decoder, potenzialmente divulgare contenuti di memoria sensibili, causare denial of service o eseguire codice arbitrario inviando uno stream compresso in Brotli appositamente costruito.

Non è la prima patch della settimana

Questa non è un'emergenza isolata: è la seconda correzione di sicurezza per le build Windows di PHP in pochi giorni. Le build ricompilate, numerate 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, arrivano cinque giorni dopo le release del 21 ottobre che correggevano le due falle RCE note come PHP2Shell: usano lo stesso codice sorgente, quindi quelle correzioni restano in vigore, e ora includono Brotli 1.2.1.

La falla Brotli, del resto, non nasce in PHP: Node.js l'ha segnalata nel suo rilascio di sicurezza del 21 ottobre, e i ricercatori l'hanno inizialmente chiamata Node2Shell. Brotli è una libreria condivisa da molti runtime e proxy, quindi la stessa CVE ha richiesto patch separate in più ecosistemi nella stessa settimana.

Cosa fare

Chi amministra server Windows con PHP deve scaricare i pacchetti aggiornati dalla pagina ufficiale dei download PHP (php.net/downloads.php?os=windows) e verificare, prima dell'aggiornamento, se applicazioni o librerie in uso attivano CURLOPT_ENCODING per Brotli: è il percorso con cui la falla diventa sfruttabile.