# Windows版PHPに追加更新。先週更新済みでも配布パッケージを確認

Canonical: https://security.qutori.jp/article/php-windows-brotli-oct2026.html
Language: ja
編集・日本語要約: バグマゲドン対策委員会
本ページ内容更新日: 2026-10-26

PHP公式がWindows向けパッケージを再配布しました。同梱するBrotliの圧縮データ処理を修正する更新です。PHP本体のバージョン表示は変わらないため、パッケージ末尾の「-1」まで確認が必要です。

日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-26 / 本記事更新：2026-10-26 / 原文確認：2026-10-26。

原文発行：The PHP Group / 原文公表：2026-10-26。

## 対象と影響

Windows版PHPを使い、cURL拡張でHTTP応答の自動展開を有効にしているアプリが確認対象です。cURLの既定では無効ですが、アプリやHTTPライブラリが有効にする場合があります。

## 自社で確認すること

保守担当へ、Windows版PHPが「-1」付きの更新パッケージになっているか確認する。

1. Windows版PHPの利用場所とcURLの自動展開設定を保守担当に確認する。
2. 公式のPHP 8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1へ、利用系列に合わせて更新する。これらはBrotli 1.2.1を同梱する。
3. 更新後、外部API連携やファイル取得を確認する。PHP本体の番号だけでなく、配布パッケージの更新を記録する。

## 攻撃の流れと防御の確認箇所

外部の圧縮HTTP応答 → cURLによる自動展開 → 同梱Brotliの処理 → メモリ破損・コード実行のおそれ

防御の確認箇所：Windows版PHPの依存ライブラリを含む更新

## 優先度の考え方

対象なら優先確認。Brotli公式はCVE-2026-111497をコード実行につながる範囲外書き込みとして説明。PHPでの到達条件はWindows版のcURL自動展開です。実際の悪用を確認したという記載はありません。

優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。

## 原文で言及されたCVE

- [CVE-2026-111497](https://www.cve.org/CVERecord?id=CVE-2026-111497)

- [タイムラインで関連情報を探す](https://security.qutori.jp/timeline.html)

## 報告の範囲

Windows版PHPを使い、cURL拡張でHTTP応答の自動展開を有効にしているアプリが確認対象です。cURLの既定では無効ですが、アプリやHTTPライブラリが有効にする場合があります。

## 原文と確認箇所

- [The PHP Group — Updated PHP Windows builds for Brotli security fix](https://www.php.net/archive/2026.php)
- [追加の一次資料](https://github.com/google/brotli/releases/tag/v1.2.1)

PHP公式2026年アーカイブの26 Oct 2026欄にWindowsの4つの再配布番号、Brotli 1.2.1、cURL自動展開の条件、PHP本体のバージョン表示は不変と明記。Brotli公式v1.2.1リリース欄のCVE説明も確認。 PHP公式アーカイブ先頭に26 Oct 2026。この日付はPHP Windows再配布告知日で、Brotli脆弱性そのものの初公表日ではない。

海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。

- [ニュース一覧](https://security.qutori.jp/news.html)
- [出典・編集方針](https://security.qutori.jp/about.html)