📰 Source : The Hacker News — Article publié le 26 octobre 2026.

Contexte

Cinq jours après les correctifs du 21 octobre 2026 ciblant deux failles RCE PHP2Shell, PHP a publié de nouveaux packages Windows reconstruits pour corriger une vulnérabilité distincte dans la bibliothèque de compression Brotli intégrée à ses distributions officielles.

Vulnérabilité

  • CVE : CVE-2026-111497
  • Composant affecté : Bibliothèque Brotli 1.2.0 (incluse dans les packages Windows officiels PHP)
  • Nature : Corruption mémoire pouvant mener à une exécution de code arbitraire
  • Score CVSS 4.0 : 9.2 / 10 (Critical) selon Google
  • Score CVSS 3.1 : 8.1 / 10 (Important) selon Red Hat
  • Découverte : Chercheurs d’OpenAI

Vecteur d’attaque

La faille est accessible via l’extension cURL de PHP lorsque la décompression automatique des réponses HTTP est activée (CURLOPT_ENCODING). La bibliothèque Guzzle (versions 7.16.1 et 8.3.1) active cette option par défaut, exposant les applications utilisant ses paramètres par défaut sur les builds Windows de la semaine précédente.

L’attaque se matérialise sous la forme d’une réponse HTTP compressée malveillante envoyée par un serveur contacté par l’application PHP.

Packages corrigés

Version PHP Nouveau build
8.5.12 8.5.12-1
8.4.27 8.4.27-1
8.3.36 8.3.36-1
8.2.35 8.2.35-1

Les nouveaux packages intègrent Brotli 1.2.1 (version corrigée). Le code source PHP reste inchangé, les correctifs PHP2Shell sont maintenus.

Périmètre et exploitation

  • Affecte uniquement les packages Windows officiels PHP
  • Des chercheurs d’Imperva ont réussi à exécuter du code via cette faille sur un build officiel Node.js
  • Aucune exploitation active signalée ; la faille n’était pas dans le catalogue KEV de CISA au 23 octobre 2026
  • Node.js, Bun et d’autres logiciels embarquant Brotli ont également publié des correctifs

Mitigation temporaire (selon OpenAI)

  • Ne pas activer CURLOPT_ENCODING dans le code PHP
  • Dans Guzzle : définir l’option decode_content à false
  • Supprimer br de l’en-tête Accept-Encoding ne suffit pas à empêcher un serveur d’envoyer une réponse Brotli

📌 Type d’article : Patch de sécurité / alerte de sécurité. But principal : informer les utilisateurs Windows de PHP de la disponibilité de nouveaux packages corrigés et des conditions d’exposition à CVE-2026-111497.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1203 — Exploitation for Client Execution (Execution)

IOC

  • CVEs : CVE-2026-111497 — NVD · CIRCL
  • Fichiers : php-8.5.12-1-nts-Win32-vs17-x64.zip

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 9 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 54/100 (moyenne)

  • ✅ thehackernews.com — source reconnue (liste interne) (20pts)
  • ✅ 3340 chars — texte complet (15pts)
  • ✅ 2 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 2 TTP(s) MITRE (8pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://thehackernews.com/2026/10/php-issues-second-windows-security.html