Vulnerabilidades y Avisos de Seguridad: Escritura fuera de límites en PHP para Windows

Resumen de la alerta

Se ha identificado una vulnerabilidad crítica en Brotli, un componente incluido en determinadas compilaciones de PHP para Windows. El fallo, registrado como CVE-2026-111497, puede permitir que un atacante remoto no autenticado provoque una escritura fuera de los límites de un búfer al enviar un flujo comprimido manipulado.

Según la información disponible, una explotación satisfactoria podría causar divulgación de información, denegación de servicio o ejecución de código. La incidencia afecta a compilaciones de PHP para Windows que incorporen versiones vulnerables de Brotli. La corrección está disponible mediante compilaciones actualizadas de PHP para Windows que incluyen Brotli 1.2.1.

Recursos afectados

El aviso afecta a las compilaciones de PHP para Windows que integren alguna de las siguientes versiones vulnerables de Brotli:

• Brotli 1.0.3 a 1.0.9.
• Brotli 1.1.0.
• Brotli 1.2.0.

La extensión cURL de PHP puede alcanzar el decodificador vulnerable cuando está habilitada la descompresión automática de respuestas HTTP. Esta opción se encuentra desactivada de forma predeterminada, aunque determinadas aplicaciones o bibliotecas pueden haberla activado.

Descripción de las vulnerabilidades

CVE-2026-111497 es un fallo de escritura fuera de límites en el decodificador Brotli. Este tipo de vulnerabilidad se produce cuando un componente escribe datos fuera de la zona de memoria que tiene asignada mientras procesa información especialmente preparada.

En este caso, el problema puede activarse al procesar un flujo comprimido manipulado. La corrupción de memoria resultante puede derivar en distintos impactos, según las condiciones concretas del entorno afectado.

La vulnerabilidad ha sido comunicada por Khai Tran y Sylvie Mayer, de OpenAI Codex Security, y está clasificada con severidad crítica.

Impacto y nivel de riesgo

Un atacante remoto sin necesidad de autenticarse podría intentar explotar la vulnerabilidad mediante contenido comprimido diseñado para activar el fallo en Brotli. Entre las consecuencias potenciales indicadas se encuentran:

• Revelación de información almacenada en memoria.
• Interrupción del servicio o denegación de servicio.
• Ejecución de código.

La posibilidad de acceso al decodificador a través de cURL depende de que la descompresión automática de respuestas HTTP esté habilitada en la aplicación o biblioteca utilizada. Por tanto, las organizaciones deben revisar si sus aplicaciones PHP para Windows procesan respuestas HTTP comprimidas mediante esta funcionalidad.

El aviso identifica la vulnerabilidad como explotable. No obstante, la información disponible no detalla ataques observados, campañas activas ni incidentes confirmados vinculados a CVE-2026-111497.

Solución y medidas recomendadas

La medida indicada es instalar la compilación actualizada de PHP para Windows correspondiente a la rama utilizada:

• PHP 8.5.12-1.
• PHP 8.4.27-1.
• PHP 8.3.36-1.
• PHP 8.2.35-1.

Estas compilaciones incluyen Brotli 1.2.1. El sufijo “-1” identifica una recompilación específica para Windows; la versión del intérprete PHP se mantiene sin cambios.

La actualización debe aplicarse sobre la rama de PHP que utilice cada entorno afectado, verificando posteriormente que la compilación desplegada corresponde a una de las versiones corregidas.

Recomendaciones para organizaciones afectadas

1. Identificar los servidores y estaciones Windows que ejecuten compilaciones de PHP con Brotli entre las versiones 1.0.3 y 1.2.0.
2. Priorizar la actualización a PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 o 8.2.35-1, según la rama implantada.
3. Revisar las aplicaciones y bibliotecas PHP que utilicen cURL para determinar si han habilitado la descompresión automática de respuestas HTTP.
4. Validar la actualización en los entornos de control establecidos por la organización antes de extenderla a producción, cuando el proceso operativo lo requiera.
5. Comprobar que los sistemas actualizados incorporan Brotli 1.2.1 y que no permanecen compilaciones vulnerables en uso.