PHP encara segunda falha avaliação em cinco dias

O PHP disponibilizou uma nova atualizacao de segurança pra suas edições 8.2, 8.3, 8.4 e 8.5 no Windows, consertando uma vulnerabilidade avaliação na biblioteca de compressão Brotli que pode possibilitar corrupção de memoria e execução de codigo malicioso. Identificada como CVE-2026-111497, a falha recebeu nota 9,2 no CVSS 4.0 e pode ser explorada através de respostas HTTP manipuladas.A atualizacao chega somente cinco dias apos os bundles publicados em 21 de outubro de 2026, que consertaram duas vu O PHP disponibilizou uma nova atualizacao de segurança pra suas edições 8.2, 8.3, 8.4 e 8.5 no Windows, consertando uma vulnerabilidade avaliação na biblioteca de compressão Brotli que pode possibilitar corrupção de memoria e execução de codigo malicioso. Identificada como CVE-2026-111497, a falha recebeu nota 9,2 no CVSS 4.0 e pode ser explorada através de respostas HTTP manipuladas.

A atualizacao chega somente cinco dias apos os bundles publicados em 21 de outubro de 2026, que consertaram duas vulnerabilidades de execução remota de codigo conhecidas como PHP2Shell. Os novos bundles mantêm as correções anteriores e incorporam o Brotli 1.2.1, edição que elimina a vulnerabilidade. As compilações atualizadas são PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1.

De acordo com a documentação de componentes disponibilizada pelo projeto, os bundles anteriores pra Windows incluíam o Brotli 1.2.0, uma das edições impactadas. A vulnerabilidade pode ser atingida pela extensao cURL do PHP quando a descompressão automatica de respostas HTTP está ativada. Ainda que esse feature venha desligado por padrão no cURL, aplicações e bibliotecas de comunicação HTTP podem ativá-lo ao longo do processamento das requisições.

No PHP, a opcao CURLOPT_ENCODING ativa a descompressão automatica. Quando configurada com um valor vazio, possibilita aceitar todos os formatos de compressão suportados pelo cURL, incluindo Brotli. A biblioteca Guzzle, amplamente utilizada pra requisições HTTP em aplicações PHP, configura esse comportamento por padrão nas edições 7.16.1 e 8.3.1 quando utiliza cURL.

Desse modo, aplicações que mantêm as configuracoes padrão do Guzzle podem atender às condicoes necessarias pra atingir a vulnerabilidade nos bundles anteriores do PHP pra Windows. Essa possibilidade foi identificada apartir do codigo das bibliotecas e da documentação do PHP, mas nao foi validada em testes realizados em sistemas Windows. Pra explorar a falha, um invasor necessitaria entregar uma resposta HTTP comprimi