PHP su Windows: build -1 con Brotli 1.2.1, e un avviso sulle sessioni

Il 26 ottobre il team PHP ha pubblicato le build Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1 con Brotli 1.2.1. La nuova Brotli corregge CVE-2026-111497, una scrittura fuori dai limiti nella decompressione.

Perché ti riguarda: se usi PHP su Windows, il decoder vulnerabile è raggiungibile tramite l’estensione cURL quando è attiva la decompressione automatica delle risposte HTTP. In cURL è spenta di default, ma la tua applicazione o una libreria client HTTP possono accenderla.

Il suffisso -1 indica un rebuild del pacchetto Windows con dipendenze aggiornate: stessi sorgenti, stessa versione di PHP. Per una volta php -v non ti dice tutto. Se hai installato la build Windows prima del 26 ottobre, scarica quella nuova.

Sessioni: l’avviso del 23 ottobre

Il 23 ottobre il team ha suggerito di impostare session.upload_progress.enabled=0 fino alla prossima release regolare di bugfix. Serve a proteggersi da un vettore RCE che il team giudica improbabile: CVE-2026-115560. Perché si apra serve una combinazione insolita. L’applicazione imposta session.serialize_handler a php_binary o php_serialize in configurazione. Poi lo cambia in php a runtime con ini_set(), prima di session_start(). E intanto l’upload progress è ancora attivo.

Se non cambi mai il serialize handler a runtime, per questa falla puoi lasciare la funzione accesa. Se avevi già applicato la mitigazione del 21 ottobre per GHSA-6wmf-4rv5-p3rp, non devi fare altro: tienila com’è. Se invece non sei ancora passato alle versioni del 21 ottobre, il problema è un altro e più urgente: leggi la nostra allerta. L’advisory completo su CVE-2026-115560 arriverà con la prossima release.