Mitä tapahtui
PHP-tiimi on julkaissut päivitetyt Windows-paketit versioille 8.2.35-1, 8.3.36-1, 8.4.27-1 ja 8.5.12-1. Päivitys sisältää Brotli-pakkauskirjaston version 1.2.1, joka korjaa tietoturva-aukon (CVE-2026-111497). Kyseessä on muistikirjoitusvirhe Brotlin purkutoiminnossa.
Paketin tunnisteen loppuosa -1 tarkoittaa, että kyseessä on saman PHP-version uudelleenpaketointi päivitetyllä riippuvuudella. PHP:n oma lähdekoodi ja versio eivät muutu.
Keitä tämä koskee
Haavoittuvuus koskee PHP:n Windows-asennuksia, joissa cURL-laajennus on käytössä ja joissa HTTP-vastausten automaattinen pakkauksen purku on otettu käyttöön. Tämä asetus ei ole oletuksena päällä cURL:ssa, mutta jotkut sovellukset tai HTTP-kirjastot voivat ottaa sen käyttöön.
Linux- ja muut ei-Windows-ympäristöt eivät ole tämän päivityksen kohteena.
Mitä kannattaa tehdä
Windows-ympäristöissä suositellaan päivittämään PHP uusimpaan saatavilla olevaan -1-pakettiin: 8.2.35-1, 8.3.36-1, 8.4.27-1 tai 8.5.12-1. Päivitetyt paketit ovat saatavilla PHP:n lataussivulta.
Näin näette sivustonne PHP-version: WordPressin hallinnassa Työkalut → Sivuston terveys → Tiedot → Palvelin.
Tarkistamme Aimovahdin ylläpitoasiakkaiden sivustot ja kerromme, jos jokin vaatii toimia. Jos ette ole varmoja sivustonne tilanteesta, maksuton kuntotarkastus kertoo sen.
Lähde: Updated PHP Windows builds for Brotli security fix, php.net.