Il team di PHP ha pubblicato il 26 ottobre nuove build di PHP per Windows per le versioni 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1. I pacchetti ricompilati includono la libreria di compressione Brotli 1.2.1, che corregge la vulnerabilità CVE-2026-111497: una scrittura fuori dai limiti di memoria durante la decompressione di dati Brotli.
PHP per Windows: cosa cambia con le nuove build
Il suffisso “-1” indica una ricompilazione dei pacchetti Windows con dipendenze aggiornate: il codice sorgente di PHP e il numero di versione restano gli stessi. Si tratta del secondo aggiornamento per Windows in cinque giorni, dopo le release del 21 ottobre che avevano corretto le falle PHP2Shell; secondo The Hacker News quelle correzioni restano presenti nelle nuove build.
Sempre secondo The Hacker News, le distinte dei componenti (SBOM) pubblicate con le build x64 Non Thread Safe della settimana scorsa indicavano Brotli 1.2.0, una delle versioni vulnerabili. La falla, individuata da ricercatori di OpenAI, è stata corretta da Google nelle versioni 1.2.1, 1.1.1 e 1.0.10 della libreria, divulgate il 21 ottobre. Google la valuta 9,2 su 10 (critica) con CVSS 4.0, mentre Red Hat le assegna 8,1 con CVSS 3.1.
Quando la vulnerabilità è raggiungibile
Secondo l’avviso di PHP, il difetto può essere raggiunto attraverso l’estensione cURL quando questa decomprime automaticamente le risposte HTTP. cURL lascia questa funzione disattivata per impostazione predefinita, ma applicazioni e librerie client HTTP possono attivarla. Nel codice PHP la decompressione automatica si abilita con l’opzione CURLOPT_ENCODING; un valore vuoto accetta tutti i formati supportati.
The Hacker News osserva che la libreria Guzzle, in base al codice delle versioni 7.16.1 e 8.3.1, imposta proprio quel valore vuoto per le richieste inviate tramite cURL, pur precisando di non aver effettuato test su Windows. Un eventuale attacco arriverebbe sotto forma di risposta compressa appositamente costruita da un server contattato dall’applicazione PHP.
Nessuno sfruttamento noto finora
L’avviso di PHP non menziona attacchi in corso. Secondo The Hacker News, la valutazione della CISA del 23 ottobre non registrava sfruttamenti e la falla non figurava nel catalogo Known Exploited Vulnerabilities. Lo stesso difetto ha già richiesto correzioni in altri software che includono una propria copia di Brotli, come Node.js e, come raccontato su questo sito, il runtime .NET di Microsoft.
Cosa fare per mettere in sicurezza i server
- Scaricare e installare le nuove build dalla pagina ufficiale dei download di PHP per Windows.
- Verificare l’installazione tramite il nome del file, che contiene “-1” (ad esempio php-8.5.12-1-nts-Win32-vs17-x64.zip), e l’hash SHA-256 indicato nella pagina dei download: il comando
php -vmostra lo stesso numero di versione prima e dopo l’aggiornamento. - Se l’aggiornamento non è immediatamente possibile, valutare di disattivare la decompressione automatica di Brotli nei client HTTP, come suggerito da OpenAI: secondo The Hacker News questo significa non impostare CURLOPT_ENCODING o, in Guzzle, impostare l’opzione decode_content su false (che però disattiva anche la decodifica gzip). PHP non indica soluzioni alternative ufficiali.
- Controllare che siano installate anche le correzioni per le falle PHP2Shell rilasciate il 21 ottobre.
Per approfondire: PHP, due falle critiche: rischi per siti e dati degli utenti e PHP2Shell, in Italia vulnerabile l’81,9% dei servizi PHP.
Fonti: PHP.net; PHP.net – Download; The Hacker News
