PHP heeft opnieuw Windows-pakketten uitgebracht om een kritieke code-executie kwetsbaarheid in de Brotli-compressiebibliotheek te verhelpen.
PHP heeft een tweede beveiligingsupdate voor Windows uitgebracht binnen vijf dagen om een ernstige kwetsbaarheid in de Brotli-compressiebibliotheek te verhelpen. De update betreft de officiële Windows-pakketten voor PHP 8.2 tot en met 8.5 en adresseert CVE-2026-111497, een fout die een aanvaller in staat kan stellen om geheugen te corrumperen en mogelijk code uit te voeren.
Volgens PHP is de kwetsbaarheid te bereiken via de cURL-extensie wanneer deze automatisch HTTP-antwoorden decompressie toepast. Standaard staat cURL deze decompressie uit, maar applicaties en HTTP-clientbibliotheken kunnen dit inschakelen. De nieuwe pakketten, met versienummers 8.5.12-1, 8.4.27-1, 8.3.36-1 en 8.2.35-1, zijn uitgebracht vijf dagen na de vorige update van 21 oktober die twee PHP2Shell remote code execution-kwetsbaarheden oploste. De updates gebruiken dezelfde PHP-broncode, waardoor eerdere fixes behouden blijven, en bevatten nu de gepatchte versie Brotli 1.2.1.
PHP publiceert bij elk pakket een software bill of materials met een overzicht van de gebruikte componenten. Vorige week toonden de x64 Non Thread Safe builds van alle vier de versies nog Brotli 1.2.0, een van de kwetsbare versies. PHP adviseert Windows-gebruikers dringend om de nieuwe builds te installeren via de officiële downloads pagina. Omdat de PHP-versie zelf niet wijzigt, blijft de versieaanduiding in php -v gelijk; het verschil is te herkennen aan het '-1' achter het versienummer in de bestandsnaam en de SHA-256 hash op de downloadsite.
Automatische decompressie houdt in dat cURL een server vraagt om een gecomprimeerd antwoord en dit vervolgens zelf uitpakt. In PHP wordt dit geregeld met de CURLOPT_ENCODING optie, waarbij een lege waarde alle ondersteunde formaten accepteert. De PHP HTTP-clientbibliotheek Guzzle zet deze lege waarde standaard aan, zoals te zien is in de 7.16.1 release en versie 8.3.1. Hierdoor voldoet een applicatie die Guzzle met standaardinstellingen gebruikt aan de voorwaarden om de kwetsbaarheid te bereiken in de vorige Windows-builds.
Een aanval zou plaatsvinden via een speciaal vervaardigd gecomprimeerd antwoord van een server waarmee de PHP-applicatie communiceert. Google beoordeelt de kwetsbaarheid met een score van 9,2 (kritiek) op de CVSS 4.0 schaal, terwijl Red Hat deze waardeert op 8,1 (belangrijk) volgens CVSS 3.1. Onderzoekers van Imperva slaagden erin om code via de kwetsbaarheid uit te voeren op een officiële Node.js build, maar dit vergde meerdere pogingen. Er zijn vooralsnog geen meldingen van actieve uitbuiting. De Amerikaanse CISA registreerde op 23 oktober geen exploitatie en de kwetsbaarheid staat niet in hun Known Exploited Vulnerabilities catalog.
De kwetsbaarheid werd ontdekt door onderzoekers van OpenAI. Google bracht de patch uit in Brotli versies 1.2.1, 1.1.1 en 1.0.10 direct na openbaarmaking op 21 oktober. Ook Node.js, Bun en andere software die een eigen Brotli-versie meeleveren, hebben updates uitgebracht. PHP geeft geen workaround voor systemen die nog niet kunnen updaten. OpenAI adviseert om automatische Brotli-decompressie in HTTP-clients uit te schakelen totdat de update is geïnstalleerd, en waarschuwt dat het verwijderen van 'br' uit de Accept-Encoding header niet voldoende is om een server te verhinderen om Brotli te sturen. In PHP betekent dit dat CURLOPT_ENCODING niet moet worden ingesteld, omdat cURL zonder deze optie geen decompressie uitvoert. In Guzzle kan dit worden bereikt door de decode_content request-optie op false te zetten, wat alle automatische decompressie uitschakelt, waardoor ook gzip-antwoorden gecomprimeerd blijven.
