PHP publie de nouveaux paquets Windows pour corriger une faille Brotli (CVE-2026-111497) pouvant mener à l'exécution de code.

L’équipe PHP vient de reconstruire ses paquets Windows officiels pour corriger une faille Brotli. Cette vulnérabilité porte l’identifiant CVE-2026-111497. Elle touche la bibliothèque de compression Brotli, embarquée dans les distributions Windows de PHP. Un attaquant pourrait corrompre la mémoire et, potentiellement, exécuter du code.

Les versions concernées vont de PHP 8.2 à PHP 8.5. Il s’agit de la deuxième mise à jour de sécurité dédiée à Windows en seulement cinq jours. Les administrateurs doivent donc suivre de près les publications.

Une faille Brotli dans les paquets Windows de PHP

Brotli est un algorithme de compression très répandu sur le web. Il sert notamment à réduire la taille des réponses HTTP. Les paquets Windows de PHP intègrent cette bibliothèque pour fonctionner sans dépendance externe.

C’est précisément là que se situe le problème. Le défaut se trouve dans la bibliothèque, pas dans le cœur du langage. Pour le corriger, les mainteneurs ont dû regénérer les paquets officiels. Ils couvrent les branches 8.2, 8.3, 8.4 et 8.5.

Le défaut relève de la corruption de mémoire. Ce type de bug est sérieux. En effet, il peut provoquer un simple plantage. Mais, dans le pire des cas, il ouvre la voie à l’exécution de code arbitraire.

Comment l’extension cURL expose le code vulnérable

PHP précise que la faille est atteignable par l’extension cURL. Plus exactement, le risque apparaît quand l’extension décompresse automatiquement les réponses HTTP. Dans ce cas, des données reçues d’un serveur sont traitées par la bibliothèque Brotli.

Un serveur malveillant pourrait alors renvoyer une réponse spécialement fabriquée. Le code PHP qui l’interroge déclencherait ensuite le défaut sans le savoir. Le scénario ne suppose donc pas d’accès direct à la machine. Il suffit que l’application contacte un serveur hostile ou compromis.

Toutefois, cURL n’active pas cette décompression automatique par défaut. Cette configuration limite l’exposition. En revanche, elle ne protège pas les applications qui activent l’option. Or de nombreux projets le font pour gagner en bande passante.

Par exemple, un développeur peut définir l’option CURLOPT_ENCODING pour accepter les formats compressés. Il peut aussi s’appuyer sur une bibliothèque tierce qui le fait à sa place. Dans ce cas, le réglage n’est pas toujours visible.

Deux mises à jour Windows en cinq jours

Cette correction arrive peu de temps après une première mise à jour de sécurité pour Windows. Deux publications en cinq jours sont inhabituelles. Elles montrent la pression qui pèse sur les mainteneurs. Elles rappellent aussi un point essentiel de la chaîne logistique logicielle.

En effet, un langage peut hériter des vulnérabilités de composants qu’il embarque. Les équipes de sécurité surveillent souvent le code de PHP lui-même. Pourtant, les bibliothèques tierces intégrées aux binaires comptent autant.

De plus, la faille Brotli concerne quatre branches à la fois. Les environnements Windows hébergeant plusieurs versions de PHP devront donc être vérifiés un par un. Autrement dit, une seule mise à jour ne suffira pas toujours.

Le texte source ne mentionne aucune exploitation active. Aucune information n’est donnée non plus sur un score de gravité. Par prudence, il vaut mieux traiter la correction comme prioritaire, car l’exécution de code est en jeu.

Recommandations pour les administrateurs

Plusieurs actions simples permettent de réduire le risque. Voici l’ordre conseillé.

1. Identifier les serveurs Windows qui exécutent PHP 8.2, 8.3, 8.4 ou 8.5 à partir des paquets officiels.
2. Installer les paquets reconstruits publiés par PHP pour corriger la CVE-2026-111497.
3. Vérifier l’usage de cURL et repérer les applications qui activent la décompression automatique des réponses HTTP.
4. Auditer les bibliothèques tierces qui configurent cURL à votre place.
5. Limiter les connexions sortantes vers des serveurs de confiance lorsque c’est possible.

Ce qu’il faut retenir

• La CVE-2026-111497 affecte la bibliothèque Brotli intégrée aux paquets Windows de PHP.
• Les versions PHP 8.2 à 8.5 sont concernées.
• Le risque passe par l’extension cURL lorsque la décompression automatique est activée.
• Cette décompression est désactivée par défaut, mais de nombreuses applications l’activent.
• Il s’agit de la deuxième mise à jour Windows de PHP en cinq jours : appliquez-la sans attendre.

Source : PHP Issues Second Windows Security Update in Five Days to Fix Brotli Code Execution Flaw