PHP : paquets Windows corrigés pour Brotli et nouvelles précisions du CERT-FR
Le 26 octobre 2026, l’équipe PHP a publié de nouveaux paquets Windows : 8.5.12-1, 8.4.27-1, 8.3.36-1 et 8.2.35-1. Ils embarquent Brotli 1.2.1 pour corriger CVE-2026-111497, une écriture hors limites mémoire dans la décompression.
L’exposition passe par l’extension cURL lorsque la décompression automatique des réponses HTTP est activée. Elle est désactivée par défaut dans cURL, mais des applications ou bibliothèques clientes peuvent l’activer. Le suffixe -1 désigne une reconstruction Windows avec des dépendances actualisées : le numéro de version du moteur PHP reste identique. Vérifier seulement ce numéro peut donc masquer un paquet ancien. Installer les paquets reconstruits et contrôler les dépendances effectivement chargées.
Dans son alerte actualisée le 26 octobre, le CERT-FR constate aussi des tentatives d’exploitation de CVE-2026-109618 et CVE-2026-109619 sur certains déploiements. Cela ne prouve pas que toutes les tentatives aboutissent. Ces deux failles critiques, évaluées à 9,2/10 en CVSS 4.0 par PHP, disposent de correctifs depuis le 21 octobre.
Enfin, CVE-2026-115560 concerne une combinaison de configuration et de code applicatif jugée peu probable par PHP ; son correctif est attendu au prochain cycle régulier. L’éditeur recommande de désactiver temporairement le suivi des téléversements de session pour les installations concernées. Cette mesure ne remplace pas les autres mises à jour.
Mots-clés suggérés : PHP, Windows, Brotli, hébergement.
Sources :
