PHP recompila sus paquetes de Windows por un fallo en Brotli
El equipo de PHP ha publicado nuevas compilaciones para Windows: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1. El cambio incorpora Brotli 1.2.1 para corregir CVE-2026-111497, un fallo de escritura fuera de límites en la descompresión de Brotli.
Según PHP, en las compilaciones de Windows el decodificador vulnerable puede alcanzarse a través de la extensión cURL cuando está activada la descompresión automática de respuestas HTTP. Esa opción está deshabilitada por defecto en cURL, aunque algunas aplicaciones y bibliotecas HTTP pueden habilitarla. Las versiones de PHP no cambian; solo se actualizan los paquetes de Windows y sus dependencias.
Qué significa para tu web
Si usas PHP en Windows, conviene actualizar a una de estas compilaciones nuevas. Revisa también si tu aplicación activa la descompresión automática en cURL, porque ahí es donde puede entrar en juego el fallo de Brotli.
Fuente: php.net