PHP tim objavio je nove Windows buildove za nekoliko podržanih verzija PHP-a kako bi riješio sigurnosni problem povezan s Brotli bibliotekom za kompresiju podataka. Ažuriranja uključuju nove pakete za PHP 8.5, 8.4, 8.3 i 8.2 granu.
Nove verzije PHP Windows buildova
Dostupni su sljedeći ažurirani Windows paketi:
- PHP 8.5.12-1
- PHP 8.4.27-1
- PHP 8.3.36-1
- PHP 8.2.35-1
Nova izdanja uključuju Brotli 1.2.1 biblioteku koja donosi ispravak za sigurnosni propust označen kao CVE-2026-111497.
Što je CVE-2026-111497?
Riječ je o ranjivosti tipa out-of-bounds write u procesu Brotli dekompresije. Takvi sigurnosni propusti potencijalno mogu omogućiti neočekivano ponašanje aplikacije tijekom obrade posebno oblikovanih komprimiranih podataka.
Prema informacijama PHP tima, u Windows buildovima PHP-a ranjivi Brotli dekoder može biti dostupan putem cURL ekstenzije kada je omogućena automatska dekompresija HTTP odgovora.
Zadane postavke smanjuju rizik
Automatska dekompresija HTTP odgovora u cURL-u nije uključena prema zadanim postavkama. Međutim, pojedine aplikacije i HTTP klijentske biblioteke mogu omogućiti tu funkcionalnost, zbog čega se korisnicima preporučuje instalacija najnovijih izdanja.
Što znači oznaka “-1” u verziji?
PHP tim pojašnjava da nastavak -1 označava ponovno izgrađene (rebuild) Windows pakete s ažuriranim ovisnostima. Sam PHP izvorni kod nije mijenjan, a verzije PHP runtimea ostaju iste kao u prethodnim izdanjima.
Drugim riječima, riječ je o sigurnosnom ažuriranju koje se odnosi na uključene biblioteke i ovisnosti, a ne na promjene u samom PHP jeziku.
Preporuka za korisnike PHP-a na Windowsu
Organizacijama i programerima koji koriste PHP na Windows platformi preporučuje se provjera instaliranih verzija te nadogradnja na najnovije dostupne buildove. Posebnu pozornost trebaju obratiti aplikacije koje koriste cURL s uključenom automatskom dekompresijom HTTP odgovora.
Ažurirani paketi dostupni su putem službene PHP stranice za preuzimanje Windows izdanja.
Zaključak
Novo izdanje Windows buildova za PHP donosi važan sigurnosni ispravak kroz nadogradnju Brotli biblioteke na verziju 1.2.1. Iako je mogućnost iskorištavanja ranjivosti ograničena specifičnim konfiguracijama, instalacija ažuriranih paketa preporučuje se svim korisnicima PHP-a na Windows platformi.
