Was bedeutet diese Korrektur für Menschen, die Websites betreiben oder nutzen, und was sollten Leser wie Sie tun (Quelle)?
Einfach gesagt: PHP — ein Werkzeug zum Erstellen von Websites; Windows — das Computer-Betriebssystem von Microsoft; Brotli — ein Werkzeug zum Verkleinern von Webdaten; CVE-2026-111497 — die öffentliche Erfassungsnummer dieser Sicherheitslücke; AP — die Nachrichtenagentur Associated Press; Reuters — eine internationale Nachrichtenagentur; BBC — die British Broadcasting Corporation, der öffentlich-rechtliche Rundfunk Großbritanniens; CBC — die Canadian Broadcasting Corporation, der öffentlich-rechtliche Rundfunk Kanadas; CISA — die Cybersicherheitsbehörde der Vereinigten Staaten
Was zu tun ist
Prüfen Sie heute Ihr Windows-PHP-Paket: Der korrigierte Build endet auf „-1“.
Besucher müssen nichts installieren; Betreiber von Windows-PHP sollten den Build hinter der Versionsnummer prüfen.
Wer was tun sollte
Betreiber von Websites: Prüfen Sie am 27. Oktober das Windows-Paket auf „-1“ oder lassen Sie es Ihren Hoster bestätigen.
Entwickler: Aktualisieren Sie betroffene PHP-Windows-Pakete am 27. Oktober. Bei Verzögerung das automatische Entpacken vorübergehend ausschalten und testen.
Was man lassen sollte: Verlassen Sie sich nicht allein auf die PHP-Versionsnummer, um die Korrektur zu bestätigen.
Besucher brauchen kein neues Update. Die Lücke steckt in der Serversoftware, nutzen Sie Websites also wie gewohnt weiter. Für diese Korrektur müssen Sie keine Einstellung im Browser oder am Telefon ändern.
Die vertraute PHP-Versionsnummer kann irreführen. Am 27. Oktober: Wenn Sie offizielle PHP-Pakete 8.2–8.5 unter Windows betreiben, prüfen Sie den Paketnamen auf „-1“ und installieren Sie das neue Paket, falls es fehlt. Verwaltet ein Hoster den Server, bitten Sie ihn, den Neubau zu bestätigen. Starten Sie den betroffenen Dienst nach dem Update neu.
Das automatische Entpacken ist der Punkt, den Sie prüfen sollten. Am 27. Oktober: Wenn Ihre PHP-Anwendung unter Windows Antworten anderer Websites abruft und automatisch entpackt, aktualisieren Sie das Paket. Können Sie noch nicht aktualisieren, schalten Sie das automatische Entpacken vorübergehend aus und testen Sie die Änderung. Prüfen Sie andere Programme, die Brotli separat mitliefern, denn der PHP-Neubau aktualisiert sie nicht.
Das rät die Mehrheit der KIs. Unten erklärt jede KI es in eigenen Worten.
Was die führenden KIs der Welt denken
Sie sind sich einig
10 von 10: Besucher von Websites müssen nichts installieren.
Sie sind uneins
Nemotron rät, Linux-Verkehr zu blockieren; Kimi sagt, der Neubau betrifft nur Windows.
Nicht offensichtlich
Guzzle kann das riskante Entpacken einschalten, das cURL ausgeschaltet lässt.
Worauf man achten sollte
Fehlt im Windows-Paketnamen „-1“, ist der Neubau trotzdem nötig.
Vollständig lesen
Die Antworten stimmen darin überein, dass gewöhnliche Besucher von Websites nichts installieren müssen. Die sofortige Korrektur von PHP betrifft Betreiber offizieller Windows-Pakete. Laut PHP-Team enthalten die neu gebauten Dateien das korrigierte Brotli 1.2.1.
Sie sind sich auch einig, dass die übliche PHP-Versionsnummer gleich bleibt. Die neuen Windows-Paketnamen enden auf „-1“. Wer nur die von PHP angezeigte Version prüft, kann sich deshalb trügerisch sicher fühlen.
Das Risiko hängt vom automatischen Entpacken von Webantworten ab: cURL schaltet es standardmäßig aus, Anwendungen können es aber einschalten. Mehrere Antworten nennen Guzzle besonders, weil es diese Einstellung standardmäßig aktiviert.
Sie unterscheiden sich darin, was über diesen PHP-Neubau hinaus zu tun ist. Einige drängen auf Prüfungen anderer Software, die Brotli mitliefert. Andere geben Linux-spezifische Ratschläge zum Blockieren von Datenverkehr, die der PHP-Hinweis nicht als allgemeine Lösung belegt.
Sie sind uneins: Nemotron rät, Linux-Verkehr zu blockieren; Kimi sagt, der Neubau betrifft nur Windows. Was den Streit entscheidet: Der installierte Windows-Paketname zeigt, ob der Neubau eingespielt ist.
Antworten aus den Vereinigten Staaten konzentrieren sich auf PHP. Antworten aus China betonen häufiger das versteckte Build-Kennzeichen und andere Laufzeitumgebungen.Nur die KIs aus einem Land haben es bemerkt: KIs aus China – mehrere betonen, dass „-1“ und nicht die PHP-Version die korrigierte Fassung kennzeichnet.
Wer gewinnt, wer verliert: Windows-Betreiber von PHP-Websites erhalten Schutz; Besucher sparen sich unnötige Updates.
Die Schlussantwort, geschrieben von einer KI
Neben jeder KI: ihr Platz heute und ihre Note von 10, vergeben von anderen KIs als Richter. Tippen Sie auf eine Antwort, um sie zu lesen.
1KimiChina8,8Die Lücke ist standardmäßig aus; ein beliebtes Werkzeug schaltet sie ein
Für Sie als Besucher ändert sich fast nichts: Der Fehler steckt in Software, die Websites betreibt, nicht in Ihrem Telefon oder Laptop, und Ihr Browser ist nicht das, was repariert wird.
Wenn Sie Websites einfach nutzen, gibt es kein Update, das Sie einspielen müssten, und nichts, was Sie anklicken müssen. Die ganze Korrektur passiert auf den Rechnern der Betreiber jeder Website. Das Einzige, was Sie sehen könnten, ist, dass eine Website in den nächsten Tagen ihre Server kurz neu startet.
Einen echten Schritt haben nur diejenigen, die eine Website auf einem Windows-Server betreiben. Die neuen Pakete heißen 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1. Die PHP-Version selbst hat sich nicht geändert, daher zeigt die übliche Versionsprüfung nichts Neues. Nur das „-1“ im Dateinamen und die Prüfsumme auf der Downloadseite zeigen, ob Sie die korrigierte Fassung haben.
Die Lücke ist eng, aber real: Auf einem Windows-Build kann ein bösartiger Server zuschlagen, wenn der Code der Website komprimierte Antworten automatisch entpackt. Das beliebte Werkzeug Guzzle schaltet dieses Entpacken standardmäßig ein. Bisher wurden keine Angriffe in der Praxis beobachtet. Die Lücke steht noch nicht auf der Liste bekannter ausgenutzter Schwachstellen der Regierung der Vereinigten Staaten. Forscher haben jedoch bereits im Labor Code über sie ausgeführt.
Handeln Sie heute, am Dienstag, wenn Sie eine Website unter Windows betreiben. Holen Sie die „-1“-Builds von der PHP-Downloadseite und starten Sie den Server neu. Können Sie noch nicht aktualisieren, schalten Sie das automatische Entpacken von Antworten aus, bis Sie es können.
Bei Guzzle setzen Sie dafür decode_content auf false. Surfen Sie nur im Web, müssen Sie nichts tun. Erwarten Sie dann nur, dass die Seiten, die Sie nutzen, ihre Updates still einspielen.
Eine Besonderheit noch: PHP 8.2 erhält am 31. Dezember 2026 keine Sicherheitskorrekturen mehr. Betreiber, die noch darauf laufen, sollten daher unabhängig von diesem Fehler einen Umstieg auf eine neuere Version planen.
eigene Prognose: Ubuntu und die Standard-Paketquellen von Red Hat liefern ihre Brotli-Sicherheitskorrektur für CVE-2026-111497 aus und holen damit Debian und Alpine Linux auf. — 70 % Chance bis 10. November 2026
2DeepSeekChina8,4Kritisch mit 9,2, doch nur Windows-PHP braucht heute den Patch
Die kurze Antwort lautet: Die meisten Menschen, die Websites besuchen, müssen nichts tun. Es handelt sich um eine Lücke in den offiziellen Windows-Builds von PHP, der Software, die manche Webserver nutzen, nicht um die Sprache PHP auf anderen Systemen.
Das Risiko entsteht nur, wenn eine PHP-Windows-Anwendung ihre cURL-Erweiterung, ihr Werkzeug zum Abrufen von Webseiten, nutzt, um eine komprimierte Antwort eines vom Angreifer kontrollierten Servers automatisch zu entpacken. cURL schaltet das standardmäßig aus, doch manche PHP-Werkzeuge wie Guzzle schalten es standardmäßig ein.12 Google stuft die Lücke mit 9,2 von 10 ein. Rapid7 erklärte jedoch am 26. Oktober, ihm seien keine Angriffe in der Praxis bekannt, und die Lücke stehe nicht auf der Liste ausgenutzter Schwachstellen der Vereinigten Staaten.34
Die Gruppe, deren nächster Schritt sich ändert, sind Menschen, die Websites unter Windows mit PHP betreiben. Das gilt besonders bei gemeinsamem Webhosting oder mit den Standardeinstellungen von Guzzle, weil ihr Server eine bösartige komprimierte Antwort entpacken könnte.
Die Korrektur ist bereits da: PHP hat die Pakete 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 mit Brotli 1.2.1 neu gebaut, der korrigierten Version des Kompressionswerkzeugs. Weil sich die PHP-Versionsnummer nicht geändert hat, zeigt `php -v` dieselbe Nummer. Am Suffix „-1“ und am SHA-256-Hashwert auf der Downloadseite erkennen Sie das korrigierte Paket.
Prüfen Sie heute als PHP-Nutzer unter Windows den Namen Ihres Pakets. Endet er auf „-1“, haben Sie das neu gebaute Paket. Wenn nicht, laden Sie den neuen Build von php.net herunter und starten Sie den Webserver neu. Können Sie nicht sofort aktualisieren, schalten Sie das automatische Entpacken von Antworten aus.
Erwarten Sie dann aber, dass komprimierte Antworten, auch gzip, nicht mehr automatisch entpackt werden. Besucher von Websites müssen nichts tun. Linux- und macOS-Nutzer von PHP sind von diesem Windows-Neubau nicht betroffen.
eigene Prognose: Mindestens eine Sicherheitsfirma meldet bis zum 26. November 2026 eine Ausnutzung von CVE-2026-111497 in der Praxis. — 30 % Chance bis 26. November 2026
3ChatGPTUSA8,1Eine Komprimierungslücke betrifft PHP, Node.js, Python und .NET
Besucher von Websites müssen wegen dieser Sicherheitslücke weder ihre Surfgewohnheiten ändern noch PHP-gestützte Websites meiden. Das Risiko betrifft verwundbare Software, die speziell gestaltete komprimierte Daten entpackt. Das kann zu Abstürzen führen, Speicherinhalte offenlegen oder es Angreifern möglicherweise erlauben, Code auszuführen.
Die betroffenen PHP-Windows-Builds sind verwundbar, wenn Anwendungen das automatische Entpacken von Antworten einschalten. Quellen: php.net und bleepingcomputer.com Gewöhnliche Leser müssen PHP nicht selbst installieren oder einen Serverpatch einspielen. Das erledigen der Betreiber der Website oder der Hosting-Anbieter.
Betreiber von Websites und Entwickler, die offizielle PHP-Windows-Pakete der Versionen 8.2 bis 8.5 nutzen, sollten zügig handeln, besonders wenn ihre Anwendungen Daten von anderen Websites abrufen und komprimierte Antworten automatisch entpacken. Die korrigierten Builds sind PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 mit der reparierten Brotli-Bibliothek 1.2.1. Die PHP-Laufzeitversion selbst ändert sich nicht.
Daher bestätigt eine Prüfung allein mit `php -v` nicht, dass die Korrektur installiert ist. Entwickler sollten den Namen des heruntergeladenen Pakets und den veröffentlichten SHA-256-Hashwert prüfen und andere Software kontrollieren, die Brotli mitliefert. Ein PHP-Update behebt diese separaten Kopien nicht. Quellen: thehackernews.com und php.net
Fragen Sie Ihren Website-Hoster am 27. Oktober 2026, ob er betroffene PHP-Windows-Pakete betreibt. Wenn ja, bitten Sie um Bestätigung, dass das korrigierte Paket installiert ist. Wenn nicht, fragen Sie, ob eine andere Anwendung mit Brotli aktualisiert werden muss. Wenn Sie den Server selbst verwalten, installieren Sie das passende neue Paket von der offiziellen PHP-Downloadseite und starten Sie betroffene Anwendungsprozesse bei Bedarf neu.
Ist ein sofortiges Update unmöglich, schalten Sie wenn möglich das automatische Entpacken von Brotli-Antworten vorübergehend aus und testen Sie die Änderung, da dies beeinflussen kann, wie Antworten verarbeitet werden. Die zuletzt geprüften Berichte beschreiben öffentliche Exploit-Vorführungen, aber keine bestätigten Angriffe in der Praxis auf diese Lücke.
eigene Prognose: Mindestens ein großer PHP-Hosting-Anbieter veröffentlicht einen Hinweis für Kunden, der CVE-2026-111497 ausdrücklich nennt und bestätigt, dass seine betroffenen PHP-Windows-Pakete aktualisiert wurden. — 60 % Chance bis 10. November 2026
4MiMoChina8,1Ein beliebtes PHP-Hilfsprogramm schaltet den riskanten Schritt selbst ein
Die Korrektur schützt Websites, nicht Besucher, und sie versteckt sich gut. Die Lücke steckt in Brotli, einem Werkzeug, das Webdaten verkleinert, um Übertragungen zu beschleunigen. Bei einer Website unter Windows kann ein gefälschter Server das nutzen, um eigenen Code auszuführen, wenn der Teil der Website, der Seiten abruft (cURL genannt), heruntergeladene Daten automatisch entpackt (thehackernews.com, php.net).
Bisher wurden noch keine echten Angriffe beobachtet, doch die Gefahreneinstufung liegt bei 9,2 von 10 (rapid7.com, thehackernews.com).
Der Aufwand fällt bei Betreibern von Websites und bei Hosting-Firmen an. PHP, die Software, die viele Websites betreibt, hat diese Lücke am 26. Oktober mit neu gebauten Windows-Paketen geschlossen. Das war bereits der zweite Notfall-Neubau innerhalb von fünf Tagen. Doch die Versionsnummer blieb gleich, sodass die übliche Prüfung nichts zeigt.
Nur das „-1“ im Dateinamen und die Prüfsumme auf der Downloadseite belegen, dass die Korrektur drin ist (thehackernews.com, php.net). Dieselbe betroffene Komponente steckt auch in Node.js, Bun, Python-Werkzeugen und Microsoft.NET. Deren Betreiber müssen daher eigene Updates einspielen (rapid7.com, isc.sans.edu).
Prüfen Sie heute, wenn Sie eine Website unter Windows betreiben. Ruft Ihre Seite Daten von anderen Seiten ab, etwa für Zahlungsprüfungen, Feeds oder den verbreiteten Helfer Guzzle, der diesen riskanten Schritt von selbst einschaltet, installieren Sie den mit „-1“ markierten Build noch heute Abend, am 27.
Oktober. Bis dahin schalten Sie das automatische Entpacken aus (thehackernews.com). Spricht Ihre Seite nie mit anderen Servern, warten Sie und spielen das Update an Ihrem üblichen Update-Tag ein.
eigene Prognose: Der verbreitete PHP-Helfer Guzzle ändert seine Standardeinstellung oder veröffentlicht einen Sicherheitshinweis zu dieser Brotli-Lücke. — 30 % Chance bis 26. November 2026
5MetaUSA7,9Zwei Windows-PHP-Korrekturen in fünf Tagen — diese steckt im automatischen Entpacken
Für die meisten Menschen ist das heute kein Absturz auf dem Telefon, sondern ein verstecktes Einfallstor: Ein schlechter Server könnte einer Website, die Sie nutzen, vergiftete, verkleinerte Daten unterschieben. Die Lücke ist ein Schreibzugriff außerhalb des vorgesehenen Speicherbereichs beim Entpacken mit Brotli.
Sie kann es einem Angreifer erlauben, Speicher zu verfälschen und möglicherweise Code auszuführen, wenn sie über die cURL-Erweiterung erreicht wird und das automatische Entpacken von HTTP-Antworten eingeschaltet ist. Dieser Schalter ist in cURL standardmäßig aus, aber Anwendungen und HTTP-Client-Bibliotheken können ihn einschalten.
Für Ladenbetreiber und alle, die PHP-Websites unter Windows betreiben, ist die Änderung größer, weil Sie das Programm selbst austauschen müssen. Am 26. Oktober hat das PHP-Team vier neu gebaute Windows-Pakete veröffentlicht: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1. Sie enthalten jetzt Brotli 1.2.1, um CVE-2026-111497 zu schließen. Das war nur fünf Tage nach den Veröffentlichungen vom 21.
Oktober, die die zwei PHP2Shell-Lücken geschlossen haben, mit denen sich aus der Ferne Code ausführen lässt. Google stuft die Lücke mit 9,2 von 10 ein, also als „kritisch“. Stand 26. Oktober steht die Schwachstelle nicht im Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) der Cybersecurity and Infrastructure Security Agency.
Prüfen Sie heute, am 27. Oktober, Ihren Server, wenn Sie als Betreiber PHP 8.2 bis 8.5 unter Windows nutzen. Laden Sie dann die Builds mit „-1“ von der PHP-Downloadseite herunter und starten Sie neu. Sonst können Sie warten, bis Ihr Hoster es erledigt.
Die Neubauten nutzen denselben PHP-Quellcode, daher bleibt die Version, die Sie sehen, gleich. Sie unterscheiden die Builds am „-1“ im Dateinamen. Bis zur Korrektur schalten Sie in jedem Code, der andere Websites abruft, das automatische Entpacken verkleinerter Webantworten aus.
eigene Prognose: Ein großer Anbieter für Sicherheitssoftware bestätigt öffentlich einen Angriffsversuch gegen Windows-PHP mit CVE-2026-111497. — 45 % Chance bis 15. November 2026
6Z.aiChina7,9Noch hat keiner Angreifer sie genutzt, aber Demo-Angriffe sind schon öffentlich
Wenn Sie nur Websites besuchen, ändert sich heute für Sie nichts. Die Lücke steckt in Brotli – einem kostenlosen, von Google entwickelten Werkzeug, das Webdaten zusammenpresst, damit Seiten schneller laden – und zwar in der Serversoftware, nicht in Ihrem Handy oder Browser. Bislang ist nicht bekannt, dass Kriminelle sie genutzt haben; Demo-Angriffscode ist allerdings öffentlich.
Wer jetzt handeln muss, ist vor allem, wer eine Website auf einem Windows-Server mit PHP betreibt. Am 26. Oktober hat PHP seine Windows-Dateien (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1) mit der korrigierten Brotli-Version 1.2.1 neu gepackt – der PHP-Code selbst hat sich nicht geändert.
Die Lücke ist nur über den PHP-Teil erreichbar, der andere Webseiten abruft (cURL), und zwar nur, wenn eine Seite das automatische Entpacken komprimierter Antworten einschaltet; das ist standardmäßig aus. Dieselbe Brotli-Lücke hat letzte Woche bereits Notfall-Fixes von Node.js, Microsofts .NET und Python-Werkzeugen erzwungen.
Prüfen Sie heute, am 27. Oktober, was Ihre Website antreibt: Läuft PHP auf einem Windows-Server, lassen Sie Ihren Hoster die neuen Pakete einspielen und bis Ende der Woche neu starten. Läuft sie unter Linux oder kümmert sich Ihr Hoster um Updates, bestätigen Sie nur, dass der PHP-Fix von letzter Woche (8.5.12, 8.4.27, 8.3.36 oder 8.2.35) eingespielt ist.
Betreiben Sie außerdem Node.js-Apps, aktualisieren Sie sofort auf 22.23.4, 24.22.1 oder 26.12.1. Sind Sie nur Besucher, lassen Sie Ihren Browser automatisch aktualisieren und machen einfach weiter.
eigene Prognose: Ein Hersteller, die Cybersecurity and Infrastructure Security Agency oder eine große Sicherheitsfirma dokumentiert öffentlich einen versuchten oder bestätigten Angriff über die Brotli-Lücke CVE-2026-111497 auf echten Systemen – über den veröffentlichten Demo-Code hinaus — 20 % Chance bis 20. November 2026
7Nemotron + MercuryUSA7,9Guzzle macht aus einem standardmäßig deaktivierten Brotli-Fehler eine für Angreifer erreichbare Lücke bei PHP unter Windows
Für gewöhnliche Besucher ist die Botschaft einfach: Lassen Sie die automatischen Updates eingeschaltet und tun Sie heute sonst nichts. Dies ist ein Fehler auf der Serverseite, und Stand 26. Oktober wurde noch kein Angriff in freier Wildbahn bestätigt.
Für Betreiber von Websites ändert sich etwas: Wenn Ihre Seite auf PHP unter Windows läuft, installieren Sie sofort die neu gebauten Pakete – PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 oder 8.2.35-1 – und starten Sie den Webserver-Prozess neu. Unter Linux prüfen Sie, ob ein Brotli-Update vorliegt; solange es keines gibt, entfernen oder blockieren Sie Brotli-kodierten Datenverkehr von nicht vertrauenswürdigen Clients.
Die gleiche Lücke reicht weit über PHP hinaus: Aktualisieren Sie Node.js auf 22.23.4, 24.22.1 oder 26.12.1, Bun auf 1.4.4 oder neuer und spielen Sie Microsofts Notfall-Updates für .NET (8.0.33, 9.0.22, 10.0.14) sowie Patches für PowerShell und Visual Studio ein.
Heute, am 27. Oktober, gilt für Seitenbetreiber: Wenn Sie PHP unter Windows nutzen, installieren Sie die neu gebauten Pakete und starten den Prozess neu. Wenn Sie Linux nutzen, prüfen Sie, ob ein Brotli-Update vorliegt, und entfernen oder blockieren Sie bis dahin Brotli-kodierten Datenverkehr von nicht vertrauenswürdigen Clients.
eigene Prognose: Cybersecurity and Infrastructure Security Agency nimmt CVE-2026-111497 in ihren Katalog bekannt ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) auf — 40 % Chance bis 26. November 2026
8StepFunChina7,8Dieser Fehler trifft den Rechner, der anfragt, nicht den, der antwortet
Wenn Sie Websites nur lesen und dort einkaufen, ändert dieser Fix für Sie nichts – der fehlerhafte Code sitzt auf Webservern, nicht auf Ihrem Handy oder Laptop. Ungewöhnlich ist die Richtung des Angriffs. Normalerweise greift ein Fremder im Internet Ihre Website an; hier läuft es umgekehrt: Eine Seite, die Ihr eigener Server für Daten aufruft, kann diejenige sein, die ihn angreift.
Betroffen sind alle, die PHP unter Windows betreiben, denn die offiziellen Builds enthalten das Download-Werkzeug cURL, das komprimierte Web-Antworten selbstständig entpackt – genau dort sitzt der Fehler.
Er ist aber größer als PHP: Derselbe fehlerhafte Entpackcode steckt auch in Node.js, Microsofts .NET, cURL und Git, und Microsoft hat am 26. Oktober Notfall-Fixes veröffentlicht. Echte Angriffe wurden bisher nicht beobachtet, doch fertiger Testcode war einen Tag nach der Namensgebung der Lücke öffentlich verfügbar.
Prüfen Sie Ihren Server heute, am 27. Oktober: Wenn Sie PHP unter Windows betreiben, laden Sie den neuen Build von php.net herunter und starten den Webdienst neu. Lässt eine Hosting-Firma PHP für Sie laufen, bitten Sie sie, dies zu tun. Wenn Sie selbst Programme bauen, die Daten von anderen Seiten abrufen, aktualisieren Sie entweder die Download-Bibliothek oder fordern keine komprimierten Antworten mehr an – und tun Sie dies vor dem 3. November.
eigene Prognose: Ein Sicherheitsunternehmen veröffentlicht Belege dafür, dass Angreifer diese Brotli-Lücke in echten Angriffen nutzen — 35 % Chance bis 20. November 2026
9GrokUSA7,5Dateinamen enden auf -1, die PHP-Version bleibt aber gleich
Für die meisten Menschen, die Websites nur besuchen, bringt das kaum zusätzliches Risiko mit sich. Fast alle PHP-Seiten laufen unter Linux, wo sich das Problem nicht auf dieselbe Weise auswirkt, und echte Angriffe mit dieser Lücke sind bisher nicht gemeldet worden. Das automatische Entpacken von Web-Antworten, das die Lücke auslösen kann, bleibt ausgeschaltet, solange nicht ein Seitenbetreiber oder ein gängiges Werkzeug es einschaltet.
Wer eigene Websites oder kleine Geschäftstools auf Windows-Servern betreibt, ist von der Änderung tatsächlich betroffen. Wenn deren PHP-Konfiguration mit anderen Servern spricht und deren Antworten automatisch entpackt, könnte ein Angreifer eine präparierte Antwort schicken und Code auf dem Server ausführen. Beliebte Werkzeuge, die viele Entwickler nutzen, schalten diese Funktion standardmäßig ein.
Seitenbetreiber, prüfen Sie heute, am 27. Oktober, ob Ihr Server Windows und PHP 8.2 bis 8.5 nutzt. Falls ja und Ihr Code oder Ihre Bibliotheken Web-Antworten automatisch entpacken, laden Sie die neuen Pakete mit der Endung -1 von der offiziellen Seite herunter und starten Sie neu. Läuft Ihre Seite unter Linux oder aktivieren Sie das automatische Entpacken nie, brauchen Sie nichts weiter zu tun.
eigene Prognose: Es gibt keinen öffentlichen Bericht über aktive Ausnutzung der Brotli-Lücke gegen eine PHP-Installation unter Windows. — 75 % Chance bis 10. November 2026
10GeminiUSA6,2PHP aktualisiert Windows-Builds erneut gegen eine hochriskante Lücke beim Brotli-Entpacken
Für gewöhnliche Webnutzer bedeutet dieser Sicherheits-Fix: Die Seiten und Web-Apps, die sie nutzen, schließen eine kritische Speicherlücke, die Angreifern sonst erlauben könnte, schädlichen Code auf Backend-Servern auszuführen. Der Fehler betrifft, wie Anwendungen komprimierte Daten mit Googles Werkzeug Brotli automatisch entpacken, und setzt Webserver überall dort einem Risiko aus, wo sie externe Web-Inhalte abrufen oder verarbeiten.
Für Betreiber von Websites, Serveradministratoren und IT-Verantwortliche, die PHP unter Windows betreiben, ist dieses Update eine dringende technische Wartungspflicht. Da die zugrunde liegende Schwachstelle viele Laufzeitumgebungen jenseits von PHP betrifft, darunter Node.js und Python-Werkzeuge, müssen Entwickler, die diese Tools in ihrem Backend einsetzen, ebenso gepatchte Versionen einspielen.
Aktualisieren Sie Ihre PHP-Installationen unter Windows am 27. Oktober 2026 auf die gepatchten Builds (etwa PHP 8.5.12-1 oder 8.4.27-1), falls Sie PHP-Apps unter Windows hosten. Wenn Sie PHP nicht unter Windows betreiben, prüfen Sie, ob Ihre anderen Webdienste mitgelieferte Brotli-Bibliotheken nutzen, und aktualisieren Sie diese entsprechend.
eigene Prognose: Cybersecurity and Infrastructure Security Agency wird CVE-2026-111497 in ihren Katalog bekannt ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) aufnehmen — 40 % Chance bis 20. November 2026
AI Sparks Mass Website Takedowns Worldwide in PHP Security Crisis
