Команда розробників PHP оновила офіційні пакети для Windows (версії 8.2–8.5) через критичну вразливість CVE-2026-111497 у бібліотеці стиснення Brotli. Проблема пов’язана з пошкодженням пам’яті під час автоматичного розпакування HTTP-відповідей через розширення cURL, що може призвести до виконання довільного коду. Оцінка загрози за шкалою CVSS становить 9.2 з 10.

Уразливість виникає, коли в додатках увімкнено опцію автоматичного декодування, яка за замовчуванням активна в деяких клієнтських бібліотеках на кшталт Guzzle. Спеціально сформована відповідь від віддаленого сервера може експлуатувати цей дефект. Випущені збірки містять виправлену версію бібліотеки Brotli 1.2.1, а розробники закликають користувачів встановити нові пакети.