PHP Windows 重建套件修補 Brotli 漏洞，需核對「-1」後綴

CVE-2026-111497

主要來源公告：2026-10-26

本站刊登：2026-10-27 · 內容更新：2026-10-27（香港日期）

情報摘要

PHP 10 月 26 日發布 Windows 重建套件，納入 Brotli 1.2.1 修補 CVE-2026-111497。使用 cURL 自動解壓 HTTP 回應的應用可能觸及脆弱解碼器；只核對 PHP 執行時期版本號，未必能確認已換上新套件。

漏洞是 Brotli 解壓縮的越界寫入；上游 1.2.1 發布說明指出可導致遠端程式碼執行。PHP 公告說明 Windows 的可觸及路徑是啟用自動 HTTP 回應解壓的 cURL 擴充；cURL 預設關閉此選項，但應用或函式庫可啟用。

「-1」標示更新依賴套件的 Windows 重建，使用相同 PHP 原始碼，執行時期版本維持不變。這是同一 Brotli CVE 的 PHP Windows 修補後續，不是 PHP2Shell 的 PHP 核心漏洞，也不等同本站較早的 Node.js 更新。

PHP 官方 Windows 建置及其內含 Brotli；修補套件為 8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1

使用官方 PHP Windows 套件，並透過 cURL／HTTP 用戶端函式庫處理回應的開發及維運團隊

從 PHP 官方下載頁更換至所用分支的上述「-1」套件，並核對部署套件而非只看 PHP 版本號。檢查應用及 HTTP 用戶端函式庫有否啟用 cURL 自動回應解壓；其他作業系統或自行編譯套件應向供應方核實其 Brotli 更新。

PHP 本次公告及 Brotli 1.2.1 發布說明未提供 PHP 專屬 CVSS 或嚴重程度評級；不套用其他產品或社群評分。

已查閱來源未證實此 PHP Windows 路徑的野外利用或香港特定受害個案；不能據此認定沒有利用或沒有香港影響。

本公告範圍為 PHP 官方 Windows 套件，不代表所有 PHP 安裝均有相同可利用條件。

公告只有日期，下載頁的建置時間不是公告上稿時間；未推算精確披露時刻。