Escritura fuera de límites en PHP para Windows Jue, 29/10/2026 - 09:53
Aviso
Recursos Afectados
Compilaciones de PHP para Windows que incorporen versiones vulnerables de Brotli: 1.0.3 a 1.0.9, 1.1.0 o 1.2.0.La extensión cURL puede alcanzar el decodificador vulnerable si se habilita la descompresión automática de respuestas HTTP. Esta opción está desactivada por defecto, pero algunas aplicaciones o bibliotecas pueden activarla.
Descripción
Khai Tran y Sylvie Mayer, de OpenAI Codex Security, han informado sobre 1 vulnerabilidad de severidad crítica en Brotli, componente incluido en PHP para Windows, que podría permitir divulgar información, provocar una denegación de servicio o ejecutar código.
Identificador
INCIBE-2026-808
Solución
Instalar la compilación de Windows correspondiente a la rama utilizada, disponible en la página oficial de descargas:PHP 8.5.12-1.PHP 8.4.27-1.PHP 8.3.36-1.PHP 8.2.35-1.Estos paquetes incorporan Brotli 1.2.1. El sufijo «-1» identifica la recompilación para Windows: el número de versión del intérprete PHP permanece igual.
Detalle
CVE-2026-111497: el decodificador Brotli puede escribir fuera de los límites de un búfer al procesar un flujo comprimido manipulado. Un atacante remoto sin autenticación podría corromper memoria, revelar su contenido, interrumpir el servicio o ejecutar código.
5 - Crítica
Listado de referencias
Updated PHP Windows builds for Brotli security fix.
Etiquetas
Actualización
Código arbitrario
Denegación de servicio - DoS - DDoS
PHP
+
Vulnerabilidad
-
CVE
Identificador CVE
Severidad
Explotación
Fabricante
CVE-2026-111497
Crítica
Si
PHP