Windows版「PHP」にアップデート - 同梱「Brotli」を更新

「PHP」の開発チームは、Windows版の「PHP」に同梱される圧縮ライブラリ「Brotli」に深刻な脆弱性が見つかったとしてアップデートをリリースした。

問題の脆弱性「CVE-2026-111497」は、Googleが提供する圧縮ライブラリ「Brotli」に判明した脆弱性。悪用により、域外メモリへの書き込みが可能となり、リモートよりコードを実行されたり、情報漏洩、サービス拒否などにつながるおそれがある。

同ライブラリでデコード処理を行う環境に影響があり、「CVSSv4.0」のベーススコアは「9.2」、重要度は「クリティカル（Critical）」と評価されている。

Windows版の「PHP」では、「cURL」拡張モジュールがHTTPレスポンスの自動展開を有効化している場合に、「Brotli」のデコーダで処理するおそれがある。

デフォルト設定では「cURL」の自動展開が無効となっているが、アプリケーションやHTTPクライアントライブラリによって有効化される場合もあり、注意が必要。

現地時間10月26日に公開したWindows向けの「PHP 8.5.12-1」「同8.4.27-1」「同8.3.36-1」「同8.2.35-1」にて脆弱性が修正されている「Brotli 1.2.1」に更新。利用者に対応を呼びかけている。

（Security NEXT - 2026/10/27 ）ツイート