✨︎ Resumen (TL;DR):
- PHP publicó el 26 de octubre de 2026 cuatro compilaciones oficiales para Windows con Brotli 1.2.1.
- El sufijo -1 distingue la reconstrucción con dependencias actualizadas, aunque el número de versión de PHP permanezca igual.
- La ruta de exposición de CVE-2026-111497 pasa por cURL cuando una aplicación habilita la descompresión automática de respuestas HTTP.
El equipo de PHP publicó el 26 de octubre de 2026 nuevos paquetes oficiales para Windows que incorporan Brotli 1.2.1 y corrigen la vulnerabilidad CVE-2026-111497. La exposición puede aparecer mediante la extensión cURL cuando una aplicación activa la descompresión automática de respuestas HTTP, así que el aviso recomienda revisar el paquete instalado y actualizar a la compilación reconstruida.
Brotli es una biblioteca usada para descomprimir datos. cURL mantiene desactivada por defecto la descompresión automática de respuestas, pero una aplicación o una biblioteca de cliente HTTP puede habilitarla. En ese caso, el contenido recibido llega al decodificador afectado.
El aviso de PHP describe una ruta ligada a los datos que una aplicación obtiene de otro servidor. Por eso, revisar la exposición implica comprobar las conexiones que inicia el propio servicio y las opciones de sus dependencias.
El sufijo -1 separa la compilación corregida
PHP anunció estas cuatro compilaciones para Windows:
- PHP 8.2.35-1
- PHP 8.3.36-1
- PHP 8.4.27-1
- PHP 8.5.12-1
En estos nombres, -1 marca una reconstrucción del paquete con dependencias actualizadas. El código fuente y la versión del runtime, el entorno que ejecuta PHP, permanecen iguales.
Esto cambia la comprobación. Una instalación puede seguir identificándose como PHP 8.5.12 tanto antes como después de sustituir el paquete. Revisar solo ese número no muestra la reconstrucción.
La página oficial de descargas ya identifica la rama 8.5 como 8.5.12-1 y muestra las huellas de integridad junto a los archivos. El nombre del paquete permite distinguir la nueva compilación dentro de una misma versión de PHP.
El riesgo aparece al descomprimir respuestas HTTP
La publicación del 26 de octubre llega cinco días después de las actualizaciones de PHP del 21 de octubre, que corrigieron otros dos fallos de ejecución remota de código.
La misma vulnerabilidad también motivó parches para Node.js, publicados el 21 de octubre. El aviso de ese proyecto explica que una entrada Brotli malformada puede escribir fuera de un búfer interno y corromper la memoria del proceso. Entre las consecuencias posibles enumera cierres inesperados, divulgación de memoria y ejecución remota de código.
Quienes instalaron las versiones de PHP para Windows publicadas el 21 de octubre ahora tienen una comprobación adicional: no basta con ver la versión del runtime. El equipo de PHP recomienda sustituirlas por las compilaciones reconstruidas, que incorporan la biblioteca Brotli corregida.
La versión visible de PHP puede no cambiar; el nombre del paquete sí. Para identificar la actualización, hay que buscar el sufijo -1 y revisar las huellas de integridad que aparecen junto a los archivos en la página oficial de descargas.
