PHP vá lỗ hổng thực thi mã từ xa trong thư viện Brotli trên Windows
"PHP released updated Windows packages (8.2.35-1, 8.3.36-1, 8.4.27-1, 8.5.12-1) to address CVE-2026-111497, a code execution flaw in the included Brotli compression library. The vulnerability can be triggered via the cURL extension when automatically decompressing HTTP responses. Updating to the latest builds, which include Brotli 1.2.1, resolves the issue."
Lỗ hổng thực thi mã từ xa trong thư viện Brotli có thể cho phép kẻ tấn công chiếm quyền điều khiển hệ thống. Mức độ nghiêm trọng được đánh giá là Critical (9.2/10 CVSS 4.0).
Các doanh nghiệp sử dụng PHP trên Windows có thể gặp rủi ro về mất dữ liệu hoặc gián đoạn dịch vụ nếu hệ thống bị khai thác. Việc cập nhật phiên bản PHP là cần thiết để giảm thiểu rủi ro.
PHP vừa phát hành các bản cập nhật Windows (8.2.35-1, 8.3.36-1, 8.4.27-1, 8.5.12-1) để khắc phục CVE-2026-111497, một lỗ hổng thực thi mã trong thư viện nén Brotli. Lỗ hổng này có thể bị khai thác thông qua extension cURL khi tự động giải nén phản hồi HTTP.
Việc cập nhật lên các bản build mới nhất, tích hợp Brotli 1.2.1, sẽ giải quyết vấn đề này. Đây là bản vá thứ hai trong năm ngày qua, sau khi PHP khắc phục hai lỗ hổng PHP2Shell.
Lỗ hổng có thể bị kích hoạt khi cURL tự động giải nén phản hồi HTTP, mặc dù tính năng này thường tắt theo mặc định. Các ứng dụng và thư viện client HTTP có thể bật nó. Guzzle, một thư viện HTTP client PHP phổ biến, bật tính năng này theo mặc định.
Google đánh giá mức độ nghiêm trọng của lỗ hổng là 9.2/10 (Critical) trên thang điểm CVSS 4.0, trong khi Red Hat đánh giá là 8.1/10 (Important) trên thang điểm CVSS 3.1. Hiện tại, chưa có báo cáo về việc khai thác lỗ hổng này.
Câu hỏi thường gặp
CVE-2026-111497 là gì?
CVE-2026-111497 là một lỗ hổng thực thi mã từ xa trong thư viện nén Brotli, có thể bị khai thác thông qua extension cURL khi giải nén phản hồi HTTP.
Các phiên bản PHP nào bị ảnh hưởng?
Các phiên bản PHP 8.2, 8.3, 8.4 và 8.5 trên Windows đều bị ảnh hưởng bởi lỗ hổng này. Các bản vá đã được phát hành cho các phiên bản 8.2.35-1, 8.3.36-1, 8.4.27-1 và 8.5.12-1.
Làm thế nào để khắc phục lỗ hổng này?
Cập nhật PHP lên các bản build mới nhất (8.2.35-1, 8.3.36-1, 8.4.27-1, 8.5.12-1) chứa Brotli 1.2.1. Kiểm tra cấu hình cURL và Guzzle để đảm bảo không tự động giải nén phản hồi HTTP nếu không cần thiết.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc vá lỗ hổng này là quan trọng đối với các doanh nghiệp Việt Nam sử dụng PHP trên Windows, đặc biệt là các ứng dụng web xử lý dữ liệu nhạy cảm. Điều đáng chú ý là lỗ hổng có thể bị khai thác thông qua thư viện cURL, một thành phần phổ biến trong các ứng dụng PHP. Các nhà phát triển nên kiểm tra và cập nhật các ứng dụng của họ để sử dụng phiên bản Brotli đã được vá.