Windows版PHPにBrotliの脆弱性修正、「-1」ビルドへの更新を

PHP開発チームは2026年10月26日付で、Windows用PHPの更新パッケージを再配布しました。同梱Brotliを1.2.1へ更新し、展開処理のCVE-2026-111497を修正しています。

PHP本体のバージョン番号は変わらず、修正済みのWindowsビルドは末尾の「-1」で区別します。

公式Windowsパッケージの「-1」を確認

php -vが示すのはPHP本体の番号で、今回の再配布分かどうかは見分けられません。導入に使ったWindows用ZIPのファイル名に「-1」があるか確認してください。入手元のパッケージを確認できない場合は、公式ダウンロードの「-1」ビルドへ入れ替えてください。

Brotliの不備は、細工された圧縮データの展開時に、メモリーの境界外へ書き込む問題です。GoogleのCVEレコードは、メモリー破壊や情報漏えい、サービス停止、任意コード実行につながる可能性を挙げています。

Windows用PHPでは、cURL拡張でHTTP応答の自動展開を有効にした場合、影響を受けるデコーダーが使われる可能性があります。cURLの既定では無効ですが、アプリケーションやHTTPクライアントライブラリが有効にする場合があります。

PHPチームは公式Windows版の利用者に更新を推奨しています。Brotliの不備はWindows以外にも影響するため、独自ビルドや他の配布物を使う場合は、その提供元の修正案内を確認してください。