以下内容由MK体育整理：

PHP团队发布了新的Windows构建包，修复一个名为HTTP2Shell的严重漏洞。

新包分别是PHP 8.

5.

12-1、8.

4.

27-1、8.

3.

36-1和8.

2.

35-1，PHP在2026年10月26日公布了这批版本。

每个构建包现在都包含Brotli 1.

2.

1，修复的是CVE-2026-111497。

运行PHP的Windows用户需要尽快安装这些包。

漏洞位于谷歌的Brotli库中，这是一个被大量程序用来解压数据的压缩工具。

问题属于越界写入，也就是代码把数据写到了原本不该触碰的内存区域之外。

Node.

js在10月21日的安全发布中披露了这个缺陷，研究人员最初称它为Node2Shell。

随着越来越多软件被确认受影响，名称改成了HTTP2Shell。

谷歌给这个问题打出的CVSS v4.

0评分是 9.

2 （满分10）。

根据具体配置不同，它可以让程序崩溃、泄露内存内容，或者在无需登录的情况下远程执行代码。

PHP自己的安全公告解释了漏洞在Windows上如何触达PHP：当自动HTTP响应解压开启时，存在缺陷的解码器可以通过cURL扩展被访问到。

按照libcurl文档的说法，这个设置在cURL中默认关闭，但应用程序和HTTP客户端库可以把它打开。

因此，当PHP环境解码来自不可信来源的Brotli数据时，风险最高。

新版本号里的“-1”后缀标记的是一次更新了依赖项的Windows重新构建，PHP运行时版本本身没有变化。

管理员还应检查PHP在10月21日发布的另一份安全更新。

那次更新修复了另外两个严重缺陷CVE-2026-109618和CVE-2026-109619，它们同样允许无需登录的远程代码执行。

PHP 8.

2将于2026年12月31日停止支持，仍在该分支上的团队需要规划升级到受支持的版本。

这个漏洞并不限于PHP。

研究人员已在Node.

js、Python包、.

NET、FFmpeg、ClickHouse和Apache Arrow中发现它。

微软和两个Python包的维护者也已发布补丁。

由于太多产品复用了Brotli，仅看版本号可能无法反映全貌。

部分厂商会把修复回移到旧版本中，因此一个构建包即使版本号看起来较旧，也可能是安全的。

安全团队可以先确认每台Windows PHP主机都运行了新的“-1”包，同时检查任何捆绑的Brotli库，已修复的上游版本是 1.

0.

10、1.

1.

1和1.

2.

1 。

暂时无法打补丁的团队，应让不可信的Brotli输入远离生产系统。

PHP官方安全公告页面和GitHub上的Brotli 1.

2.

1发布说明列出了细节，PHP Windows下载页面提供更新后的包。

特别

MK体育将持续关注后续动态。