El proyecto PHP ha puesto a disposición nuevas compilaciones para Windows identificadas con el sufijo «-1»: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1. Estas versiones no cambian el código fuente ni la versión del runtime de PHP, sino que son paquetes de Windows reconstruidos con dependencias actualizadas; en concreto incluyen Brotli 1.2.1, que corrige una vulnerabilidad de escritura fuera de límites en la descompresión de Brotli (CVE-2026-111497).
Qué cambia y por qué importa
La corrección afecta al códec Brotli incluido en las distribuciones de Windows de PHP. El fallo de seguridad es una escritura fuera de los límites de memoria durante la descompresión, un tipo de error que, en condiciones concretas, puede conducir a fallos o explotaciones más graves.
En las builds de Windows de PHP, el decodificador vulnerable puede ser alcanzado a través de la extensión cURL cuando está activada la descompresión automática de respuestas HTTP. Por defecto esta opción está deshabilitada en cURL, pero aplicaciones o bibliotecas cliente HTTP pueden activarla; por tanto, servidores Windows que usen PHP y permitan esa función están en riesgo si no actualizan.
A quién afecta
- Instalaciones de PHP en Windows que usen las builds oficiales y que habiliten la descompresión automática de respuestas en cURL.
- Aplicaciones y librerías HTTP que por configuración o código activan la descompresión automática.
- Administradores de servidores y desarrolladores que despliegan PHP en entornos Windows.
Qué deben hacer los administradores
- Descargar e instalar las builds de Windows con sufijo -1 desde la página de descargas de PHP para las ramas afectadas (8.5, 8.4, 8.3 y 8.2) si usan distribuciones oficiales en Windows.
- Revisar si sus aplicaciones o bibliotecas activan la descompresión automática de cURL. Si es así y no pueden actualizar de inmediato, considerar deshabilitar esa opción temporalmente en la configuración o en el código cliente HTTP.
- Comprobar reglas de WAF y filtros que inspeccionen respuestas comprimidas, y aplicar controles adicionales en los puntos de entrada HTTP si es necesario.
Advertencias adicionales y mitigaciones relacionadas
El anuncio de PHP recuerda asimismo medidas relacionadas con otra serie de vulnerabilidades críticas publicadas recientemente: por ejemplo, la recomendación previa de desactivar session.upload_progress (poniéndolo a 0) como mitigación temporal frente a un vector poco probable de ejecución remota de código. Esa recomendación ya figuraba en un aviso anterior y, si fue aplicada, se sugiere mantenerla hasta recibir el siguiente bugfix.
PHP subraya que la vulnerabilidad de Brotli se da sólo en condiciones concretas de configuración y uso; sin embargo, la actualización de las builds de Windows es la forma segura y recomendada de eliminar ese riesgo en installations que puedan verse afectadas.
Estado y disponibilidad
Los paquetes actualizados están disponibles en la página oficial de descargas de PHP. Las builds conservan las mismas versiones de runtime; el sufijo -1 indica únicamente una recompilación para Windows con dependencias actualizadas.
Lee también:
- Air-gapped: aislar sistemas para frenar ataques impulsados por IA
- Ruby corrige cuatro fallos en su motor de expresiones regulares; CloudLinux publica alt-ruby con los parches
Fuente: PHP.net news & announcements
