Поправките излязоха на 21 октомври. Пет дни по-късно CISA вписа двете дупки в каталога на активно използваните, със срок 29 октомври за федералните агенции в САЩ. Закърпените версии са 8.5.12, 8.4.27, 8.3.36 и 8.2.35, писахме за тях тогава. Кой използва дупките и как, записът на CISA не казва.
Факт
Фактите: на 26 октомври 2026 г. CISA добави в каталога на известните активно използвани уязвимости (KEV) CVE-2026-109619 („PHP Stale Internal Request-State Vulnerability“) и CVE-2026-109618 („PHP Memory Corruption Vulnerability“). Срокът в записа е 29 октомври 2026 г. Същия ден PHP обяви обновени Windows пакети: 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1. Те включват Brotli 1.2.1, която според PHP поправя CVE-2026-111497, запис извън границите при разкомпресиране с Brotli. В Windows пакетите на PHP уязвимият декодер може да бъде достигнат през разширението cURL, когато е включено автоматичното разкомпресиране на HTTP отговори. В cURL то е изключено по подразбиране, но приложения и HTTP библиотеки могат да го включат. PHP пише, че пакетите ползват същите сорс издания и версиите на PHP остават непроменени.
Втората новина е за Windows и е по-тиха. Там освен версията на PHP има още един номер: този на пакета. 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1 са преглобени пакети с обновени зависимости. Версиите на самия PHP са същите.
Каталогът не пита дали си чул за дупката. Пита коя версия въртиш.
Причината е Brotli, библиотека за компресия, която Windows пакетите носят със себе си. Затова версията на PHP тук не те пази. Дупката е в декодера, а PHP го достига през cURL, и то само ако автоматичното разкомпресиране е включено. По подразбиране не е. Но библиотеките, които правят HTTP заявки от приложението ти, могат да го включат вместо теб. Дали CVE-2026-111497 се използва в атаки, PHP не казва.
На Windows гледаш името на пакета: трябва да завършва на -1, например 8.5.12-1. Без него Brotli вътре е отпреди поправката.
Източници
CISA KEV (CVE-2026-109618, CVE-2026-109619), каталог на известните активно използвани уязвимости, 26.10.2026CISA BOD 26-04 (Prioritizing Security Updates Based on Risk), директивата за федералните агенции, 10.06.2026PHP Windows builds (CVE-2026-111497), обновени Windows пакети с Brotli 1.2.1, 26.10.2026Визуалът към статията е генериран код-арт, без чужди изображения.