📰 Source : The Hacker News — Article publié le 26 octobre 2026, couvrant un second correctif de sécurité publié par PHP pour ses packages Windows officiels.

🔍 Contexte Cinq jours après les publications du 21 octobre 2026 corrigeant deux failles RCE dites « PHP2Shell », PHP a reconstruit ses packages Windows pour les versions 8.2, 8.3, 8.4 et 8.5 afin d’intégrer Brotli 1.2.1, la version corrigée de la bibliothèque de compression Brotli.

⚠️ Vulnérabilité La faille CVE-2026-111497 affecte la bibliothèque Brotli incluse dans les packages Windows officiels de PHP. Elle permet une corruption mémoire pouvant mener à une exécution de code arbitraire. Elle est accessible via l’extension cURL lorsque la décompression automatique des réponses HTTP est activée.

  • CVSS 4.0 (Google) : 9.2 — Critique
  • CVSS 3.1 (Red Hat) : 8.1 — Important
  • La faille a été découverte par des chercheurs d’OpenAI et corrigée dans Brotli 1.2.1, 1.1.1 et 1.0.10

🎯 Vecteur d’attaque L’attaque se matérialise via une réponse HTTP compressée malveillante envoyée par un serveur contacté par l’application PHP. La décompression automatique est déclenchée par l’option CURLOPT_ENCODING dans PHP. La bibliothèque Guzzle (versions 7.16.1 et 8.3.1) active cette option par défaut, exposant les applications utilisant ses paramètres par défaut.

📦 Packages corrigés

  • php-8.5.12-1
  • php-8.4.27-1
  • php-8.3.36-1
  • php-8.2.35-1

Les builds précédents (x64 Non Thread Safe) embarquaient Brotli 1.2.0, version vulnérable, comme attesté par les SBOM publiés par PHP.

🔬 Exploitation Des chercheurs d’Imperva ont réussi à exécuter du code via cette faille sur un build officiel Node.js, après plusieurs tentatives. Aucune exploitation active n’a été signalée dans les systèmes PHP. L’évaluation CISA du 23 octobre 2026 ne recensait aucune exploitation, et la faille n’était pas inscrite au catalogue KEV à cette date.

📋 Type d’article : Patch de sécurité — L’article informe les utilisateurs Windows de PHP de la disponibilité de nouveaux packages corrigeant une vulnérabilité critique dans une dépendance tierce (Brotli), et détaille les conditions techniques d’exploitation.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1203 — Exploitation for Client Execution (Execution)

IOC

  • CVEs : CVE-2026-111497 — NVD · CIRCL
  • Fichiers : php-8.5.12-1-nts-Win32-vs17-x64.zip

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 5 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 54/100 (moyenne)

  • ✅ thehackernews.com — source reconnue (liste interne) (20pts)
  • ✅ 3340 chars — texte complet (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 2 TTP(s) MITRE (8pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://thehackernews.com/2026/10/php-issues-second-windows-security.html