Windows版PHPに追加更新。先週更新済みでも配布パッケージを確認
バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-10-26
PHP公式がWindows向けパッケージを再配布しました。同梱するBrotliの圧縮データ処理を修正する更新です。PHP本体のバージョン表示は変わらないため、パッケージ末尾の「-1」まで確認が必要です。
日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-26 / 本記事更新：2026-10-26 / 原文確認：2026-10-26。
原文発行：The PHP Group / 原文公表：2026-10-26。
対象と影響
Windows版PHPを使い、cURL拡張でHTTP応答の自動展開を有効にしているアプリが確認対象です。cURLの既定では無効ですが、アプリやHTTPライブラリが有効にする場合があります。
自社で確認すること
保守担当へ、Windows版PHPが「-1」付きの更新パッケージになっているか確認する。
- Windows版PHPの利用場所とcURLの自動展開設定を保守担当に確認する。
- 公式のPHP 8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1へ、利用系列に合わせて更新する。これらはBrotli 1.2.1を同梱する。
- 更新後、外部API連携やファイル取得を確認する。PHP本体の番号だけでなく、配布パッケージの更新を記録する。
攻撃の流れと防御の確認箇所
外部の圧縮HTTP応答 → cURLによる自動展開 → 同梱Brotliの処理 → メモリ破損・コード実行のおそれ
防御の確認箇所：Windows版PHPの依存ライブラリを含む更新
優先度の考え方
対象なら優先確認。Brotli公式はCVE-2026-111497をコード実行につながる範囲外書き込みとして説明。PHPでの到達条件はWindows版のcURL自動展開です。実際の悪用を確認したという記載はありません。
優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。
原文で言及されたCVE
報告の範囲
Windows版PHPを使い、cURL拡張でHTTP応答の自動展開を有効にしているアプリが確認対象です。cURLの既定では無効ですが、アプリやHTTPライブラリが有効にする場合があります。
原文と確認箇所
PHP公式2026年アーカイブの26 Oct 2026欄にWindowsの4つの再配布番号、Brotli 1.2.1、cURL自動展開の条件、PHP本体のバージョン表示は不変と明記。Brotli公式v1.2.1リリース欄のCVE説明も確認。 PHP公式アーカイブ先頭に26 Oct 2026。この日付はPHP Windows再配布告知日で、Brotli脆弱性そのものの初公表日ではない。
海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。