PHP обновил свои официальные пакеты для Windows версии 8.2-8.5, чтобы устранить уязвимость CVE-2026-111497, связанную с библиотекой сжатия Brotli, включенной в эти пакеты. Уязвимость позволяет злоумышленнику испортить память и потенциально выполнить произвольный код.

По информации разработчиков, доступ к уязвимости можно получить через расширение cURL, когда это расширение автоматически распаковывает HTTP-ответы. Хотя по умолчанию функция автоматической распаковки отключена, это не исключает возможность её активации пользователями или разработчиками.

Разработчики PHP настоятельно рекомендуют всем пользователям, использующим версии PHP 8.2-8.5 на Windows, обновить свои пакеты до последней версии, чтобы защитить свои приложения от потенциальных атак.

Обновление является частью активной работы команды PHP по обеспечению безопасности и стабильности своих продуктов. В последние годы команда PHP значительно усилила свои меры по выявлению и устранению уязвимостей, что позволяет пользователям быть уверенными в безопасности своих приложений.

Пользователи могут скачать обновления с официального сайта PHP. Важно отметить, что обновление касается только версий для Windows, и пользователи других операционных систем должны следить за соответствующими обновлениями в своих версиях PHP. Необходимо также обратить внимание на другие расширения и библиотеки, которые могут взаимодействовать с cURL, чтобы предотвратить возможные риски.

Команда PHP продолжает мониторить ситуацию и активно работает над улучшением безопасности, чтобы минимизировать риски, связанные с уязвимостями в будущем.

Источник новости:
The Hacker News

Читать полностью