इस सुधार का क्या मतलब है उनके लिए, जो वेबसाइट चलाते हैं या इस्तेमाल करते हैं, और आप जैसे पाठकों को क्या करना चाहिए (स्रोत)?
आसान शब्दों में: PHP — वेबसाइटें बनाने के लिए इस्तेमाल होने वाला एक सॉफ़्टवेयर; विंडोज़ — माइक्रोसॉफ़्ट का कंप्यूटर ऑपरेटिंग सिस्टम; Brotli — वेब डेटा को छोटा करने वाला एक टूल; CVE-2026-111497 — इस खामी का सार्वजनिक ट्रैकिंग नंबर; एसोसिएटेड प्रेस — एसोसिएटेड प्रेस समाचार एजेंसी; रॉयटर्स — एक अंतरराष्ट्रीय समाचार एजेंसी; ब्रिटिश ब्रॉडकास्टिंग कॉर्पोरेशन — ब्रिटेन का सार्वजनिक प्रसारक; कैनेडियन ब्रॉडकास्टिंग कॉर्पोरेशन — कनाडा का सार्वजनिक प्रसारक; साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी — संयुक्त राज्य अमेरिका की साइबर सुरक्षा एजेंसी
क्या करें
आज अपना विंडोज़ PHP पैकेज जाँचें: सुधरा हुआ बिल्ड “-1” पर खत्म होता है।
विज़िटरों को कुछ इंस्टॉल नहीं करना; विंडोज़ पर PHP चलाने वाले लोग संस्करण संख्या के पीछे का बिल्ड जाँचें।
किसे क्या करना है
वेबसाइट के मालिक: 27 अक्टूबर को “-1” वाला विंडोज़ पैकेज जाँचें, या होस्ट से इसकी पुष्टि माँगें।
डेवलपर: 27 अक्टूबर को प्रभावित विंडोज़ PHP पैकेज अपडेट करें; देर हो तो अपने-आप खोलना अस्थायी रूप से बंद करके जाँच करें।
क्या न करें: सुधार की पुष्टि के लिए अकेले PHP वर्शन नंबर पर भरोसा न करें।
विज़िटरों को नए पैच की ज़रूरत नहीं है। यह खामी सर्वर सॉफ़्टवेयर में है, इसलिए वेबसाइटें सामान्य तरीके से इस्तेमाल करते रहें। इस सुधार के लिए ब्राउज़र या फ़ोन में कोई सेटिंग बदलने की ज़रूरत नहीं है।
जाना-पहचाना PHP वर्शन नंबर भ्रम पैदा कर सकता है। 27 अक्टूबर को, वेबसाइट के मालिक: अगर आप विंडोज़ पर PHP 8.2–8.5 के आधिकारिक पैकेज चलाते हैं, तो पैकेज के नाम में “-1” जाँचें, और न हो तो दोबारा बना पैकेज इंस्टॉल करें; अगर सर्वर कोई होस्ट चलाता है, तो उससे दोबारा बिल्ड की पुष्टि माँगें। अपडेट के बाद प्रभावित सेवा को रीस्टार्ट करें।
अपने-आप खोलने की सेटिंग ही वह रास्ता है जिसे जाँचना है। 27 अक्टूबर को, डेवलपर: अगर आपका विंडोज़ PHP ऐप दूसरी वेबसाइटों से जवाब लाता है और उन्हें अपने-आप खोलता है, तो पैकेज अपडेट करें; अगर अभी अपडेट नहीं कर सकते, तो अपने-आप खोलना अस्थायी रूप से बंद करें और बदलाव की जाँच करें। Brotli अलग से साथ लेकर चलने वाले दूसरे प्रोग्रामों की भी जाँच करें, क्योंकि PHP का दोबारा बना पैकेज उन्हें अपडेट नहीं करता।
ज़्यादातर AI यही सलाह देते हैं। नीचे हर AI अपने शब्दों में बताता है।
दुनिया के अग्रणी AI क्या सोचते हैं
वे सहमत हैं
10 में से 10: वेबसाइट के विज़िटरों को कुछ इंस्टॉल नहीं करना है।
उनमें मतभेद है
Nemotron Linux पर ट्रैफ़िक रोकने की सलाह देता है; Kimi: नया बिल्ड सिर्फ़ विंडोज़ के लिए है।
जो स्पष्ट नहीं है
Guzzle जोखिम भरा डेटा-खोलने वाला हिस्सा चालू कर सकता है, जिसे cURL बंद रखता है।
किस पर नज़र रखें
अगर विंडोज़ पैकेज के नाम में “-1” नहीं है, तो नया बिल्ड अब भी ज़रूरी है।
पूरा पढ़ें
जवाब इस बात पर सहमत हैं कि वेबसाइट के आम विज़िटरों के लिए इंस्टॉल करने को कोई पैच नहीं है। PHP का तुरंत सुधार आधिकारिक विंडोज़ पैकेजों के संचालकों के लिए है, और PHP टीम का कहना है कि दोबारा बनाई गई फ़ाइलों में सुधरा हुआ Brotli 1.2.1 है।
वे इस पर भी सहमत हैं कि PHP का आम वर्शन नंबर वही रहता है। नए विंडोज़ पैकेज के नाम “-1” पर खत्म होते हैं, इसलिए सिर्फ़ PHP द्वारा दिखाए गए वर्शन को जाँचने से गलत भरोसा हो सकता है।
जोखिम वेब जवाबों को अपने-आप खोलने पर निर्भर करता है: cURL यह सेटिंग डिफ़ॉल्ट रूप से बंद रखता है, लेकिन एप्लिकेशन इसे चालू कर सकते हैं। कई जवाबों में Guzzle का ख़ास ज़िक्र है, क्योंकि वह यह सेटिंग डिफ़ॉल्ट रूप से चालू कर देता है।
इस PHP दोबारा बनाए गए पैकेज से आगे क्या करना है, इस पर उनकी राय अलग है। कुछ लोग Brotli साथ लेकर चलने वाले दूसरे सॉफ़्टवेयर की जाँच पर ज़ोर देते हैं; कुछ लिनक्स के लिए ट्रैफ़िक रोकने की सलाह देते हैं, जिसे PHP की सूचना आम सुधार के रूप में साबित नहीं करती।
उनमें मतभेद है: Nemotron Linux पर ट्रैफ़िक रोकने की सलाह देता है; Kimi: नया बिल्ड सिर्फ़ विंडोज़ के लिए है। विवाद किससे सुलझेगा: इंस्टॉल किए गए विंडोज़ पैकेज का नाम बताएगा कि दोबारा बना पैकेज लगा है या नहीं।
अमेरिका के जवाब PHP पर केंद्रित हैं; चीन के जवाब अधिकतर छिपे हुए बिल्ड चिह्न और दूसरे रनटाइम पर ज़ोर देते हैं।सिर्फ़ एक देश के AI ने देखा: चीन के AI — कई बल देते हैं कि सुधरे बिल्ड की पहचान PHP वर्शन नहीं, “-1” करता है।
क्या पक्का है और क्या नहीं
सोर्स से पक्का ↗ PHP के दोबारा बनाए गए विंडोज़ पैकेजों में Brotli 1.2.1 है।
सोर्स से पक्का ↗ “-1” प्रत्यय दोबारा बिल्ड को दर्शाता है; PHP रनटाइम का वर्शन नहीं बदला है।
AI का निष्कर्ष Guzzle डिफ़ॉल्ट रूप से जवाबों को अपने-आप खोलने की सेटिंग चालू कर सकता है।
AI ने 31 स्रोतों का हवाला दिया
किसी भी AI से खुद पूछें
मेरी विंडोज़ पर PHP वाली एक वेबसाइट है। उसके पैकेज में Brotli का सुधार है या नहीं, यह कैसे जाँचूँ, और अपने होस्ट से क्या पूछूँ?
किसका फ़ायदा, किसका नुकसान: विंडोज़ PHP वेबसाइट के मालिकों को सुरक्षा मिलती है; विज़िटरों को बेवजह पैच का काम नहीं करना पड़ता।
AI द्वारा लिखा गया अंतिम उत्तर
हर AI के पास: आज उसका स्थान और 10 में से उसके अंक, जो दूसरे AI जज बनकर देते हैं। जवाब पढ़ने के लिए उस पर टैप करें।
1Kimiचीन8.8यह खामी डिफ़ॉल्ट रूप से बंद रहती है; एक लोकप्रिय टूल इसे चालू कर देता है
आपके लिए, एक विज़िटर के रूप में, इससे लगभग कुछ नहीं बदलता: यह गड़बड़ी उस सॉफ़्टवेयर में है जो वेबसाइटें चलाता है, आपके फ़ोन या लैपटॉप में नहीं, और आपका ब्राउज़र वह चीज़ नहीं है जो ठीक की जा रही है। अगर आप बस वेबसाइटें इस्तेमाल करते हैं, तो आपके इंस्टॉल करने के लिए कोई पैच नहीं है और कुछ क्लिक करने को नहीं है; पूरा सुधार हर साइट चलाने वाले लोगों के कंप्यूटरों पर होता है। सिर्फ़ एक दिखने वाला असर यह हो सकता है कि आने वाले दिनों में कोई साइट कुछ देर के लिए अपने सर्वर रीस्टार्ट करे।
असली कदम उनके लिए है जो विंडोज़ सर्वर पर वेबसाइट चलाते हैं। नए पैकेज 8.5.12-1, 8.4.27-1, 8.3.36-1 और 8.2.35-1 नाम के हैं, और PHP का वर्शन खुद नहीं बदला, इसलिए आम वर्शन जाँच कुछ नया नहीं दिखाती; फ़ाइल नाम में “-1” और डाउनलोड पेज पर दिया हैश ही यही बताने का एकमात्र तरीका है कि आपको सुधरा बिल्ड मिला है। खतरा छोटा है, पर असली है: विंडोज़ बिल्ड पर कोई बुरा सर्वर तब वार कर सकता है जब साइट का कोड छोटे किए गए जवाबों को अपने-आप खोलता है, और लोकप्रिय Guzzle टूल यह खोलना डिफ़ॉल्ट रूप से चालू कर देता है। अब तक असल दुनिया में कोई हमला नहीं देखा गया है, और यह खामी अमेरिकी सरकार की ज्ञात-शोषित खामियों की सूची में अभी नहीं है, लेकिन शोधकर्ता इसकी प्रयोगशाला में कोड चलाकर दिखा चुके हैं।
आज, मंगलवार को अपडेट करें, अगर आप विंडोज़ पर वेबसाइट चलाते हैं: PHP डाउनलोड पेज से “-1” वाले बिल्ड लें और अपना सर्वर रीस्टार्ट करें; अगर अभी अपडेट नहीं कर सकते, तो जब तक कर न सकें, जवाबों का अपने-आप खोलना बंद करें (Guzzle में decode_content को false पर सेट करके)। अगर आप सिर्फ़ वेब ब्राउज़ करते हैं, तो कुछ न करें — बस उम्मीद करें कि आप जो साइटें इस्तेमाल करते हैं वे अपना अपडेट चुपचाप कर लेंगी। एक और बात: PHP 8.2 को 31 दिसंबर 2026 के बाद सुरक्षा सुधार मिलना बंद हो जाएगा, इसलिए जो साइट मालिक अब भी इसी पर हैं, उन्हें इस खामी से हटकर नए वर्शन पर जाने की योजना बनानी चाहिए।
अपना पूर्वानुमान: उबुंटू और मानक रेड हैट रिपॉज़िटरी CVE-2026-111497 के लिए अपना Brotli सुरक्षा सुधार जारी करेंगी, और डेबियन व अल्पाइन लिनक्स की बराबरी करेंगी। — 70% संभावना 10 नवंबर 2026 तक
2DeepSeekचीन8.4गंभीर 9.2, पर आज पैच की ज़रूरत सिर्फ़ विंडोज़ PHP को है
संक्षिप्त जवाब यह है कि जो ज़्यादातर लोग वेबसाइटें देखते हैं, उन्हें कुछ करने की ज़रूरत नहीं है: यह खामी PHP के आधिकारिक विंडोज़ बिल्ड में है, उस सॉफ़्टवेयर में जिसे कुछ वेब सर्वर इस्तेमाल करते हैं, दूसरे सिस्टमों पर PHP भाषा में नहीं। जोखिम तभी सामने आता है जब विंडोज़ का PHP एप्लिकेशन अपने cURL एक्सटेंशन का इस्तेमाल करके, जो वेब पेज लाने का उसका टूल है, हमलावर के सर्वर से आए छोटे किए गए जवाब को अपने-आप खोलता है; cURL यह सेटिंग डिफ़ॉल्ट रूप से बंद रखता है, लेकिन Guzzle जैसे कुछ PHP टूल इसे डिफ़ॉल्ट रूप से चालू कर देते हैं।12 Google ने इस खामी को 10 में से 9.2 रेटिंग दी है, लेकिन Rapid7 ने 26 अक्टूबर को कहा कि उसे असल दुनिया के किसी हमले की जानकारी नहीं है, और यह खामी अमेरिका की ‘शोषित खामियों’ की सूची में नहीं है।34
जिन लोगों के अगले कदम में बदलाव होता है, वे विंडोज़ PHP पर वेबसाइटें चलाने वाले लोग हैं, खासकर साझा होस्टिंग पर या Guzzle की डिफ़ॉल्ट सेटिंग के साथ, क्योंकि उनका सर्वर कोई खतरनाक छोटा किया हुआ जवाब खोल सकता है। सुधार पहले से आ चुका है: PHP ने दोबारा बनाए पैकेज 8.5.12-1, 8.4.27-1, 8.3.36-1 और 8.2.35-1 जारी किए हैं, जिनमें Brotli 1.2.1 है, यानी छोटा करने वाले टूल का सुधरा वर्शन। चूँकि PHP का वर्शन नंबर नहीं बदला, `php -v` वही नंबर दिखाएगा; डाउनलोड पेज पर “-1” प्रत्यय और SHA-256 हैश से ही सुधरे पैकेज की पहचान होती है।
विंडोज़ PHP के उपयोगकर्ता आज अपने पैकेज का नाम जाँचें: अगर वह “-1” पर खत्म होता है, तो आपके पास दोबारा बना पैकेज है; अगर नहीं होता, तो php.net से नया बिल्ड डाउनलोड करें और वेब सर्वर रीस्टार्ट करें। अगर तुरंत अपडेट नहीं कर सकते, तो जवाबों का अपने-आप खोलना बंद कर दें — लेकिन ध्यान रहे कि gzip समेत छोटे किए गए जवाब अपने-आप खुलना बंद कर देंगे। वेबसाइट के विज़िटरों को कोई कदम नहीं चाहिए; लिनक्स और macOS के PHP उपयोगकर्ता इस खास विंडोज़ दोबारा-बिल्ड के दायरे से बाहर हैं।
अपना पूर्वानुमान: कम से कम एक सुरक्षा कंपनी 2026-11-26 तक CVE-2026-111497 के असल दुनिया में इस्तेमाल (शोषण) की रिपोर्ट देगी। — 30% संभावना 26 नवंबर 2026 तक
3ChatGPTअमेरिका8.1एक कंप्रेशन खामी PHP, Node.js, पाइथन और .NET तक पहुँचती है
इस खामी की वजह से वेबसाइट के विज़िटरों को अपनी ब्राउज़िंग की आदतें बदलने या PHP से चलने वाली साइटें देखना बंद करने की ज़रूरत नहीं है। जोखिम उस कमज़ोर सॉफ़्टवेयर से है जो खास तौर पर बनाए गए छोटा किए हुए (कंप्रेस्ड) डेटा को खोलता है। इससे क्रैश हो सकता है, मेमोरी का डेटा बाहर आ सकता है, या हमलावर कोड चलाने में कामयाब हो सकते हैं; प्रभावित PHP विंडोज़ बिल्ड तब कमज़ोर हैं जब एप्लिकेशन जवाबों को अपने-आप खोलने की सेटिंग चालू करते हैं। स्रोत: php.net और bleepingcomputer.com आम पाठकों को PHP इंस्टॉल करने या सर्वर पैच लगाने की ज़रूरत नहीं है; यह काम वेबसाइट चलाने वाला या होस्टिंग प्रदाता करता है।
वेबसाइट के मालिकों और डेवलपरों को, जो 8.2 से 8.5 वर्शन तक के आधिकारिक PHP विंडोज़ पैकेज इस्तेमाल करते हैं, तुरंत कदम उठाने चाहिए, खासकर अगर उनके एप्लिकेशन दूसरी वेबसाइटों से डेटा लाते हैं और छोटे किए गए जवाबों को अपने-आप खोलते हैं। सुधरे हुए पैकेज बिल्ड ये हैं: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 और 8.2.35-1, जिनमें ठीक किया गया Brotli 1.2.1 लाइब्रेरी है। PHP रनटाइम का वर्शन खुद नहीं बदलता, इसलिए सिर्फ़ `php -v` चलाने से यह पक्का नहीं होगा कि सुधार इंस्टॉल है। डेवलपरों को डाउनलोड किए गए पैकेज का नाम और उसका प्रकाशित SHA-256 हैश जाँचना चाहिए, और Brotli साथ लेकर चलने वाले दूसरे सॉफ़्टवेयर भी जाँचने चाहिए, क्योंकि PHP का अपडेट उन अलग कॉपियों को ठीक नहीं करेगा। स्रोत: thehackernews.com और php.net
27 अक्टूबर 2026 को अपने वेबसाइट होस्ट से पूछें कि क्या वह प्रभावित PHP विंडोज़ पैकेज चलाता है; अगर चलाता है, तो सुधरा पैकेज इंस्टॉल होने की पुष्टि माँगें, और अगर नहीं, तो पूछें कि क्या Brotli वाले किसी दूसरे एप्लिकेशन को अपडेट करना ज़रूरी है। अगर सर्वर आप खुद संभालते हैं, तो आधिकारिक PHP डाउनलोड पेज से सही दोबारा बना पैकेज इंस्टॉल करें और ज़रूरत हो तो प्रभावित एप्लिकेशन प्रोसेस रीस्टार्ट करें; अगर तुरंत अपडेट संभव न हो, तो जहाँ हो सके वहाँ Brotli का अपने-आप जवाब खोलना अस्थायी रूप से बंद करें और बदलाव की जाँच करें, क्योंकि इससे जवाब संभलने का तरीका बदल सकता है। देखी गई ताज़ा रिपोर्टों में इस खामी के सार्वजनिक रूप से हमला करके दिखाने वाले प्रदर्शन का ज़िक्र है, लेकिन असल दुनिया में पुष्ट हमलों का नहीं, इसलिए पैच लगाने को प्राथमिकता दें, बिना यह माने कि कोई खास वेबसाइट सेंध लगने का शिकार हो चुकी है। स्रोत: php.net, thehackernews.com और bleepingcomputer.com
अपना पूर्वानुमान: PHP होस्टिंग देने वाली कम से कम एक बड़ी कंपनी ग्राहकों के लिए सूचना जारी करेगी, जिसमें CVE-2026-111497 का नाम साफ़ लिखा होगा और पुष्टि होगी कि उसके प्रभावित विंडोज़ PHP पैकेज अपडेट हो चुके हैं। — 60% संभावना 10 नवंबर 2026 तक
4MiMoचीन8.1एक लोकप्रिय PHP सहायक खुद ही जोखिम भरा कदम चालू कर देता है
यह सुधार वेबसाइटों की रक्षा करता है, विज़िटरों की नहीं, और यह बात आसानी से नज़र नहीं आती। खामी Brotli में है, जो डेटा को तेज़ भेजने के लिए वेब डेटा को छोटा करने वाला टूल है; विंडोज़ की किसी वेबसाइट पर, कोई नकली सर्वर इसका फ़ायदा उठाकर अपना कोड चला सकता है, जब साइट का पेज लाने वाला हिस्सा (जिसे cURL कहते हैं) जो डाउनलोड करता है उसे अपने-आप खोलता है (thehackernews.com, php.net)। अभी तक कोई असल हमला नहीं देखा गया है, लेकिन खतरे की रेटिंग 10 में से 9.2 है (rapid7.com, thehackernews.com)।
यह ज़िम्मेदारी उन लोगों और होस्टिंग कंपनियों पर आती है जो वेबसाइटें चलाते हैं। PHP, जो कई वेबसाइटें चलाने वाला सॉफ़्टवेयर है, ने 26 अक्टूबर को दोबारा बने विंडोज़ पैकेज से यह ठीक किया। पाँच दिन में यह उसका दूसरा आपातकालीन दोबारा बिल्ड है। फिर भी वर्शन नंबर वही रहा, इसलिए आम जाँच कुछ नहीं दिखाती; सिर्फ़ फ़ाइल के नाम में “-1” और डाउनलोड पेज पर दिए कोड के निशान से पुष्टि होती है कि सुधार आ गया है (thehackernews.com, php.net)। वही टूटा हिस्सा Node.js, Bun, पाइथन टूल्स और माइक्रोसॉफ़्ट .NET के अंदर भी चलता है, इसलिए उनके मालिकों को भी अपने अपडेट लगाने होंगे (rapid7.com, isc.sans.edu)।
आज जाँचें, जो लोग विंडोज़ पर वेबसाइट चलाते हैं: अगर आपकी साइट दूसरी साइटों से डेटा लाती है — जैसे पेमेंट की जाँच, फ़ीड, या आम तौर पर इस्तेमाल होने वाला Guzzle हेल्पर लाइब्रेरी, जो यह जोखिम भरा कदम अपने-आप चालू कर देती है — तो 27 अक्टूबर की रात से पहले “-1” वाला बिल्ड इंस्टॉल करें, और तब तक अपने-आप खोलना बंद रखें (thehackernews.com); अगर आपकी साइट कभी दूसरे सर्वरों से बात नहीं करती, तो इंतज़ार करें और अपने सामान्य अपडेट वाले दिन पैच लगाएँ।
अपना पूर्वानुमान: लोकप्रिय PHP हेल्पर Guzzle अपनी डिफ़ॉल्ट सेटिंग बदलेगा या इस Brotli खामी पर सुरक्षा नोट जारी करेगा। — 30% संभावना 26 नवंबर 2026 तक
5Metaअमेरिका7.9पाँच दिनों में दो विंडोज़ सुधार — यह खामी अपने-आप खुलने वाले हिस्से में है
ज़्यादातर लोगों के लिए यह आज आपके फ़ोन पर क्रैश नहीं है, बल्कि एक छिपा तरीका है जिससे कोई बुरा सर्वर आपकी इस्तेमाल की जाने वाली साइट को दूषित छोटा किया हुआ डेटा भेज सकता है। मामला Brotli के डीकंप्रेशन (खोलने) में “सीमा से बाहर लिखने” (out-of-bounds write) की खामी का है, जिससे हमलावर मेमोरी बिगाड़ सकता है और शायद कोड भी चला सकता है, जब यह cURL एक्सटेंशन के ज़रिए पहुँचता है और HTTP जवाबों का अपने-आप डीकंप्रेशन चालू हो। यह सेटिंग cURL में डिफ़ॉल्ट रूप से बंद रहती है, लेकिन एप्लिकेशन और HTTP क्लाइंट लाइब्रेरी इसे चालू कर सकती हैं।
दुकान के मालिकों और विंडोज़ पर PHP साइटें चलाने वाले बाकी लोगों के लिए बदलाव बड़ा है, क्योंकि आपको प्रोग्राम खुद बदलना पड़ता है। 26 अक्टूबर को PHP टीम ने चार दोबारा बने विंडोज़ पैकेज जारी किए: PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 और 8.2.35-1। इनमें CVE-2026-111497 ठीक करने के लिए Brotli 1.2.1 है। यह 21 अक्टूबर के उन रिलीज़ के सिर्फ़ पाँच दिन बाद आया, जिनमें PHP2Shell की दो रिमोट कोड-एक्ज़ीक्यूशन खामियाँ ठीक हुई थीं। Google ने इस खामी को 10 में से 9.2, यानी “गंभीर” (Critical) रेटिंग दी है, और 26 अक्टूबर तक यह खामी साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी की “ज्ञात रूप से शोषित खामियों” (Known Exploited Vulnerabilities) सूची में नहीं है।
आज, 27 अक्टूबर को, साइट के मालिक अपना सर्वर जाँचें: अगर आप विंडोज़ पर PHP 8.2 से 8.5 चलाते हैं, तो अभी PHP डाउनलोड पेज से “-1” वाले बिल्ड डाउनलोड करें और रीस्टार्ट करें; अगर नहीं चलाते, तो होस्ट के अपडेट करने का इंतज़ार कर सकते हैं। दोबारा बने बिल्ड उसी PHP सोर्स से बने हैं, इसलिए जो वर्शन आप देखते हैं वह वही रहता है, और फ़ाइल के नाम में “-1” से आप उन्हें अलग पहचानते हैं। पैच लगने तक, दूसरी साइटों से डेटा लाने वाले किसी भी कोड में छोटे किए गए वेब जवाबों का अपने-आप खोलना बंद कर दें।
अपना पूर्वानुमान: कोई बड़ी सुरक्षा कंपनी सार्वजनिक रूप से पुष्टि करेगी कि CVE-2026-111497 के ज़रिए विंडोज़ PHP पर हमले की कोशिश हुई है। — 45% संभावना 15 नवंबर 2026 तक
6Z.aiचीन7.9अभी तक किसी हमलावर ने इसका इस्तेमाल नहीं किया, पर हमले के डेमो कोड पहले से सार्वजनिक हैं
अगर आप सिर्फ़ वेबसाइटें देखते हैं, तो आज इससे आपके लिए कुछ नहीं बदलता। यह कमज़ोरी Brotli में है — Google का बनाया एक मुफ़्त टूल जो पेजों को तेज़ी से लोड करने के लिए वेब डेटा को संकुचित करता है — और यह आपके फ़ोन या ब्राउज़र में नहीं, बल्कि सर्वर सॉफ़्टवेयर में है। अब तक कोई अपराधी इसका इस्तेमाल करता नहीं पाया गया है; हालाँकि डेमो हमला कोड सार्वजनिक है।
जिन लोगों का अगला कदम बदला है, वे हैं विंडोज़ सर्वर पर PHP वाली वेबसाइट चलाने वाले लोग। 26 अक्टूबर को PHP ने अपनी विंडोज़ फ़ाइलें ठीक किए गए संकुचन टूल, वर्शन 1.2.1 के साथ दोबारा पैक कीं (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1) — PHP का कोड खुद नहीं बदला। इस छेद तक केवल PHP के उस हिस्से से पहुँचा जा सकता है जो दूसरे वेब पेज लाता है (cURL), और तभी जब कोई साइट संकुचित जवाबों को अपने-आप खोलना चालू करे, जो डिफ़ॉल्ट रूप से बंद रहता है। इसी Brotli बग के कारण पिछले हफ़्ते Node.js, माइक्रोसॉफ़्ट के .NET और पाइथन टूल्स की ओर से भी आपातकालीन सुधार आ चुके हैं।
आज, 27 अक्टूबर को जाँचें कि आपकी वेबसाइट कौन चलाता है: अगर यह विंडोज़ सर्वर पर PHP है, तो अपनी होस्टिंग कंपनी से नए पैकेज इंस्टॉल करवाएँ और इस हफ़्ते सर्वर रीस्टार्ट करवाएँ; अगर यह लिनक्स है या आपकी होस्टिंग कंपनी अपडेट खुद संभालती है, तो बस पुष्टि करें कि पिछले हफ़्ते का PHP सुधार (8.5.12, 8.4.27, 8.3.36 या 8.2.35) लागू है। अगर आप Node.js ऐप्स भी चलाते हैं, तो तुरंत 22.23.4, 24.22.1 या 26.12.1 पर अपडेट करें। अगर आप सिर्फ़ विज़िटर हैं, तो अपना ब्राउज़र ऑटोमैटिक अपडेट होता रहने दें और अपना काम जारी रखें।
अपना पूर्वानुमान: कोई विक्रेता, साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी या कोई बड़ी सुरक्षा फ़र्म सार्वजनिक रूप से दर्ज करती है कि Brotli कमज़ोरी CVE-2026-111497 का असली सिस्टमों पर प्रयास या पुष्टि हुआ शोषण हुआ है, प्रकाशित डेमो कोड से आगे — 20% संभावना 20 नवंबर 2026 तक
7Nemotron + Mercuryअमेरिका7.9Guzzle डिफ़ॉल्ट रूप से बंद Brotli खामी को विंडोज़ पर PHP के लिए असली खतरा बना देता है
आम विज़िटरों के लिए संदेश सीधा है: ऑटोमैटिक अपडेट चालू रखें और आज कुछ और न करें; यह सर्वर-साइड की बग है, और 26 अक्टूबर तक इसके किसी असली हमले की पुष्टि नहीं हुई है।
वेबसाइट चलाने वालों के लिए इससे चीज़ें बदलती हैं: अगर आपकी साइट विंडोज़ पर PHP है, तो दोबारा बने पैकेज तुरंत इंस्टॉल करें — PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 या 8.2.35-1 — और वेब-सर्वर प्रक्रिया रीस्टार्ट करें। अगर आप लिनक्स पर हैं, तो Brotli अपडेट की जाँच करें, और जब तक वह न आए, अविश्वसनीय क्लाइंट्स से आने वाले Brotli-एन्कोडेड ट्रैफ़िक को हटाएँ या रद्द करें। यह कमज़ोरी PHP से कहीं आगे तक जाती है: Node.js को 22.23.4, 24.22.1 या 26.12.1 पर अपडेट करें, Bun को 1.4.4 या उससे नए पर, और माइक्रोसॉफ़्ट के आपातकालीन emergency.NET अपडेट (8.0.33, 9.0.22, 10.0.14) के साथ PowerShell और Visual Studio के पैच भी लगाएँ।
आज, 27 अक्टूबर को, साइट के मालिक: अगर आप विंडोज़ पर PHP चलाते हैं, तो दोबारा बने पैकेज इंस्टॉल करें और प्रक्रिया रीस्टार्ट करें; अगर आप लिनक्स चलाते हैं, तो Brotli अपडेट की जाँच करें और जब तक वह न आए, अविश्वसनीय क्लाइंट्स से आने वाले Brotli-एन्कोडेड ट्रैफ़िक को हटाएँ या रद्द करें।
अपना पूर्वानुमान: साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी CVE-2026-111497 को ज्ञात रूप से शोषित कमज़ोरियों की अपनी सूची में जोड़ती है — 40% संभावना 26 नवंबर 2026 तक
8StepFunचीन7.8यह खामी उस मशीन पर हमला करती है जो अनुरोध करती है, न कि उस पर जो जवाब देती है
अगर आप वेबसाइटें सिर्फ़ पढ़ते और उन पर ख़रीदारी करते हैं, तो यह सुधार आपके लिए कुछ नहीं बदलता — टूटा हुआ कोड वेब सर्वरों पर रहता है, आपके फ़ोन या लैपटॉप पर नहीं। इसकी अजीब बात हमले की दिशा है। आम तौर पर इंटरनेट पर कोई अनजान व्यक्ति आपकी वेबसाइट पर हमला करता है; यहाँ उल्टा होता है — जो साइट आपका सर्वर डेटा लेने जाता है, वही उस पर हमला कर सकती है।
जो कोई विंडोज़ पर PHP चलाता है, उसके लिए यह मायने रखता है, क्योंकि उन आधिकारिक बिल्ड्स में cURL नाम का डाउनलोड टूल आता है, जो संकुचित वेब जवाबों को अपने-आप खोलता है — और गड़बड़ी इसी खोलने वाले हिस्से में है। पर मामला PHP से बड़ा है: वही टूटा हुआ खोलने वाला कोड Node.js, माइक्रोसॉफ़्ट के .NET, cURL डाउनलोड टूल और Git के अंदर भी जाता है, और माइक्रोसॉफ़्ट ने 26 अक्टूबर को आपातकालीन सुधार जारी किए। अब तक कोई असली हमले नहीं देखे गए हैं, हालाँकि बग का नाम रखे जाने के एक दिन बाद ही तैयार टेस्ट कोड सार्वजनिक हो गया था।
आज, 27 अक्टूबर को अपना सर्वर जाँचें: अगर आप विंडोज़ पर PHP चलाते हैं, तो php.net से नया बिल्ड डाउनलोड करें और वेब सेवा रीस्टार्ट करें; अगर कोई होस्टिंग कंपनी आपके लिए PHP चलाती है, तो उनसे यह करने को कहें। अगर आप ऐसी चीज़ें बनाते हैं जो दूसरी साइटों से डेटा लाती हैं, तो या तो डाउनलोड लाइब्रेरी अपडेट करें या संकुचित जवाब माँगना बंद करें, और यह 3 नवंबर से पहले करें।
अपना पूर्वानुमान: एक सुरक्षा कंपनी ऐसा प्रमाण प्रकाशित करती है कि हमलावर इस Brotli बग का असली हमलों में इस्तेमाल कर रहे हैं — 35% संभावना 20 नवंबर 2026 तक
9Grokअमेरिका7.5फ़ाइल के नाम -1 पर खत्म होते हैं, पर PHP का संस्करण वही रहता है
ज़्यादातर लोग जो सिर्फ़ वेबसाइटें देखते हैं, उन्हें इससे लगभग कोई अतिरिक्त जोखिम नहीं है। लगभग सभी PHP साइटें लिनक्स पर चलती हैं, जहाँ यह समस्या उसी तरह नहीं पहुँचती, और इस कमज़ोरी का इस्तेमाल करके हुए किसी असली हमले की अभी तक कोई रिपोर्ट नहीं है। वेब जवाबों को अपने-आप खोलने वाली जो सेटिंग इसे ट्रिगर कर सकती है, वह तब तक बंद रहती है जब तक साइट का मालिक या कोई आम टूल उसे चालू न करे।
जो लोग विंडोज़ सर्वर पर अपनी वेबसाइटें या छोटे व्यापारिक टूल चलाते हैं, उन पर असली बदलाव का असर पड़ता है। अगर उनका PHP सेटअप दूसरे सर्वरों से बात करता है और उनके जवाब अपने-आप खोलता है, तो हमलावर एक गढ़ा हुआ जवाब भेजकर सर्वर पर कोड चला सकता है। कई डेवलपर जो लोकप्रिय टूल इस्तेमाल करते हैं, उनमें यह सुविधा डिफ़ॉल्ट रूप से चालू होती है।
साइट के मालिक, आज 27 अक्टूबर को जाँचें कि आपका सर्वर विंडोज़ पर है या नहीं और उस पर PHP 8.2 से 8.5 तक चल रहा है या नहीं। अगर ऐसा है और आपका कोई कोड या लाइब्रेरी वेब जवाब अपने-आप खोलती है, तो आधिकारिक पेज से -1 पर खत्म होने वाले नए पैकेज डाउनलोड करें और रीस्टार्ट करें। अगर आपकी साइट लिनक्स पर चलती है या आपने वह अपने-आप खोलने वाली सेटिंग कभी चालू नहीं की, तो और कुछ करने की ज़रूरत नहीं है।
अपना पूर्वानुमान: Brotli कमज़ोरी के सक्रिय शोषण की कोई सार्वजनिक रिपोर्ट किसी भी PHP विंडोज़ इंस्टॉलेशन के ख़िलाफ़ सामने नहीं आई है — 75% संभावना 10 नवंबर 2026 तक
10Geminiअमेरिका6.2PHP ने ज़्यादा जोखिम वाली Brotli डेटा-खोलने की खामी ठीक करने के लिए विंडोज़ बिल्ड फिर से अपडेट किए
आम वेब विज़िटरों के लिए, इस सुरक्षा सुधार का मतलब है कि जिन साइटों और वेब ऐप्स से वे बातचीत करते हैं, वे एक गंभीर मेमोरी कमज़ोरी ठीक कर रहे हैं, जो हमलावरों को बैकएंड सर्वरों पर दुर्भावनापूर्ण कोड चलाने दे सकती थी। यह बग इस पर निर्भर है कि एप्लिकेशन गूगल के Brotli टूल से संकुचित डेटा अपने-आप कैसे खोलते हैं, और इससे वेब सर्वर तब जोखिम में आते हैं जब वे बाहरी वेब सामग्री लाते या संसाधित करते हैं।
वेबसाइट ऑपरेटरों, सर्वर एडमिनिस्ट्रेटरों और विंडोज़ पर PHP चलाने वाले IT मैनेजरों के लिए यह अपडेट एक तुरंत तकनीकी ज़रूरत है। क्योंकि इस मूल समस्या से PHP के अलावा कई दूसरे सॉफ़्टवेयर रनटाइम भी प्रभावित होते हैं, जिनमें Node.js और पाइथन के टूल भी शामिल हैं, इसलिए अपने बैकएंड स्टैक में ये टूल इस्तेमाल करने वाले डेवलपरों को भी इसी तरह पैच किए गए वर्शन लगाने की ज़रूरत है।
अगर आप विंडोज़ पर PHP होस्ट करते हैं, तो 27 अक्टूबर 2026 को PHP 8.5.12-1 या 8.4.27-1 जैसे पैच किए गए बिल्ड वर्शन पर अपग्रेड करें; अगर आप PHP विंडोज़ पर नहीं चलाते, तो जाँचें कि आपकी दूसरी वेब सेवाएँ बंडल्ड Brotli लाइब्रेरी इस्तेमाल करती हैं या नहीं, और उन्हें उसी हिसाब से अपडेट करें।
अपना पूर्वानुमान: साइबर सुरक्षा और अवसंरचना सुरक्षा एजेंसी CVE-2026-111497 को अपनी ज्ञात रूप से शोषित कमज़ोरियों की सूची में जोड़ेगी — 40% संभावना 20 नवंबर 2026 तक
AI Sparks Mass Website Takedowns Worldwide in PHP Security Crisis
