IT-Sicherheit · Sicherheitshinweis

PHP unter Windows: Brotli-Sicherheitsupdate und Paketstand prüfen

Neue Windows-Pakete enthalten eine korrigierte Brotli Bibliothek. Die reine PHP-Versionsnummer zeigt den Unterschied nicht vollständig.

Julia Grüner27. Oktober 20261 Min. Lesezeit

Geltungsbereich: PHP-Windows-Pakete mit betroffener Brotli-Bibliothek und aktivierter automatischer HTTP-Dekomprimierung über cURL.
Betroffene Produkte / Versionen: PHP-Windows-Builds laut Vorlage: 8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1 mit Brotli 1.2.1. Quellenabgleich am 27.10.2026 erfolgt; Hersteller-Backports können abweichende Versionsnummern tragen.
Voraussetzungen: Anwendung aktiviert automatische Dekomprimierung externer HTTP-Antworten; nicht allein aus der PHP-Versionsnummer ableiten.
Bekannte Korrektur: Korrigiertes Windows-Paket einschließlich Brotli-Abhängigkeit installieren und Dienste kontrolliert neu starten.
Empfohlener nächster Schritt: Inventarisieren Sie Windows-Server mit PHP anhand des tatsächlichen Pakets. Prüfen Sie insbesondere Anwendungen, die externe Inhalte abrufen. Ein Versionsvergleich ohne Paketstand kann zu einer falschen Entwarnung führen. Dokumentieren Sie Aktualisierung und Neustart betroffener Dienste.

Was die Meldung beschreibt

Das PHP-Team hat am 26. Oktober überarbeitete Windows-Pakete veröffentlicht. Die Builds 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 enthalten Brotli 1.2.1. Die Bibliothek behebt CVE-2026-111497 beim Dekomprimieren von Brotli-Daten.

In den Windows-Paketen kann der betroffene Decoder über die cURL-Erweiterung erreicht werden, wenn eine Anwendung die automatische Dekomprimierung von HTTP-Antworten aktiviert. Diese ist bei cURL standardmäßig ausgeschaltet, kann aber durch Programme und Bibliotheken eingeschaltet werden. Das Suffix -1 kennzeichnet einen Paketneubau; die PHP-Laufzeitversion bleibt gleich.

Was Unternehmen jetzt prüfen sollten

Inventarisieren Sie Windows-Server mit PHP anhand des tatsächlichen Pakets. Prüfen Sie insbesondere Anwendungen, die externe Inhalte abrufen. Ein Versionsvergleich ohne Paketstand kann zu einer falschen Entwarnung führen. Dokumentieren Sie Aktualisierung und Neustart betroffener Dienste.

Einordnung für Ihre Website und IT

Entscheidend sind die tatsächlich eingesetzten Produkte, Konfigurationen und Bereitstellungsvoraussetzungen. Eine Herstellerankündigung ersetzt weder die Prüfung Ihrer Umgebung noch einen kontrollierten Test. Halten Sie Änderungen und Prüfergebnisse nachvollziehbar fest.