PHP enfrenta segunda falha crítica em cinco dias
O PHP disponibilizou uma nova atualização de segurança para suas versões 8.2, 8.3, 8.4 e 8.5 no Windows, corrigindo uma vulnerabilidade crítica na biblioteca de compressão Brotli que pode permitir corrupção de memória e execução de código malicioso. Identificada como CVE-2026-111497, a falha recebeu pontuação 9,2 no CVSS 4.0 e pode ser explorada por meio de respostas HTTP manipuladas.
A atualização chega apenas cinco dias após os pacotes publicados em 21 de outubro de 2026, que corrigiram duas vulnerabilidades de execução remota de código conhecidas como PHP2Shell. Os novos pacotes mantêm as correções anteriores e incorporam o Brotli 1.2.1, versão que elimina a vulnerabilidade.
As compilações atualizadas são PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1. Segundo a documentação de componentes disponibilizada pelo projeto, os pacotes anteriores para Windows incluíam o Brotli 1.2.0, uma das versões afetadas.
Falha pode ser explorada por respostas HTTP manipuladas
A vulnerabilidade pode ser alcançada pela extensão cURL do PHP quando a descompressão automática de respostas HTTP está habilitada. Embora esse recurso venha desativado por padrão no cURL, aplicações e bibliotecas de comunicação HTTP podem ativá-lo durante o processamento das requisições.
No PHP, a opção CURLOPT_ENCODING habilita a descompressão automática. Quando configurada com um valor vazio, permite aceitar todos os formatos de compressão suportados pelo cURL, incluindo Brotli.
A biblioteca Guzzle, amplamente utilizada para requisições HTTP em aplicações PHP, configura esse comportamento por padrão nas versões 7.16.1 e 8.3.1 quando utiliza cURL. Dessa forma, aplicações que mantêm as configurações padrão do Guzzle podem atender às condições necessárias para alcançar a vulnerabilidade nos pacotes anteriores do PHP para Windows.
Essa possibilidade foi identificada a partir do código das bibliotecas e da documentação do PHP, mas não foi validada em testes realizados em sistemas Windows.
Para explorar a falha, um invasor precisaria fornecer uma resposta HTTP comprimida e especialmente manipulada a uma aplicação PHP que se conectasse ao servidor sob seu controle.
Vulnerabilidade recebe classificação crítica
O Google classificou a CVE-2026-111497 como crítica, atribuindo pontuação 9,2 de 10 no CVSS 4.0. Já a Red Hat atribuiu nota 8,1 no CVSS 3.1, classificando o problema como importante.
Pesquisadores da Imperva conseguiram executar código explorando a vulnerabilidade em uma compilação oficial do Node.js, embora tenham sido necessárias várias tentativas. O resultado demonstra o potencial de exploração da falha, mas não confirma o mesmo comportamento nos pacotes PHP para Windows.
O comunicado do PHP não menciona ataques em andamento. Em avaliação realizada em 23 de outubro, a Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos (CISA) não registrava exploração da vulnerabilidade, que também não constava de seu catálogo de falhas conhecidas exploradas (KEV) naquela data.
A vulnerabilidade foi descoberta por pesquisadores da OpenAI. O Google disponibilizou correções nas versões Brotli 1.2.1, 1.1.1 e 1.0.10 em 21 de outubro. Outros projetos que distribuem cópias próprias da biblioteca, incluindo Node.js e Bun, também publicaram atualizações de segurança.
PHP recomenda atualização imediata dos pacotes Windows
O projeto PHP orienta os usuários do Windows a instalar as novas compilações disponíveis em sua página oficial de downloads.
Como o código-fonte e o número principal da versão permanecem inalterados, executar o comando php -v não permite distinguir os pacotes antigos dos atualizados.
A identificação deve ser feita pelo sufixo -1 no nome do arquivo, como em php-8.5.12-1-nts-Win32-vs17-x64.zip, ou pela comparação do hash SHA-256 publicado na página de downloads.
Para ambientes que ainda não podem receber a atualização, o comunicado do PHP não apresenta uma solução alternativa. Entretanto, a OpenAI recomenda desabilitar temporariamente a descompressão automática do Brotli nos clientes HTTP.
A organização também alerta que remover apenas o identificador br do cabeçalho Accept-Encoding não impede que um servidor envie respostas comprimidas com Brotli.
Em aplicações PHP que utilizam cURL diretamente, a medida consiste em não configurar CURLOPT_ENCODING, impedindo a descompressão automática. Já no Guzzle, é possível definir a opção decode_content como false.
Essa configuração desativa toda a descompressão automática, incluindo gzip, fazendo com que as respostas cheguem comprimidas à aplicação. A medida pode exigir adaptações no processamento das respostas até que os pacotes corrigidos sejam instalados.
