Vulnerabilità · 4 ore fa
PHP per Windows ha corretto CVE-2026-111497 integrando Brotli 1.2.1 nelle nuove compilazioni, ma la versione dell’interprete resta invariata. La falla può causare divulgazione di dati, interruzione del servizio o esecuzione di codice.
Una risposta HTTP compressa costruita ad hoc può attivare il difetto quando cURL la decomprime automaticamente. L’opzione è disattivata per impostazione predefinita, ma il codice dell’applicazione o una libreria possono abilitarla: non tutte le installazioni PHP per Windows sono esposte allo stesso modo.
I rebuild corretti sono 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1. Il suffisso -1 segnala l’inclusione di Brotli 1.2.1: controllare solo la versione dell’interprete non permette di stabilire se la correzione è presente.
Sfruttamento noto · CISA KEV
CVSS 9.8 CRITICAL: a buffer overflow vulnerability in the Brotli decoder (c/dec/decode.c) in Google Brotli versions 1.0.3 through 1.2.0… EPSS 88% (100º percentile). Patch Microsoft: Release Notes.
Patch disponibile KB5133964 Scarica →
Data di correzione federale CISA 10 nov
1 fonte che coprono questa storia
Escritura fuera de límites en PHP para Windows
Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre 1 vulnerabilidad de severidad
Part of the PlainSec briefing for 2026-10-29