O que essa correção significa para quem mantém sites ou os utiliza, e o que pessoas como você devem fazer (fonte)?
Em palavras simples: PHP — uma ferramenta usada para criar sites; Windows — o sistema operacional de computadores da Microsoft; Brotli — ferramenta para reduzir o tamanho de dados da web; CVE-2026-111497 — o número público de registro da falha; Associated Press — a agência de notícias Associated Press; Reuters — uma agência internacional de notícias; BBC — a British Broadcasting Corporation, emissora pública do Reino Unido; Canadian Broadcasting — a Canadian Broadcasting Corporation, emissora pública do Canadá; Agência de Segurança Cibernética e de Infraestrutura — a agência de cibersegurança do governo dos Estados Unidos
O que fazer
Verifique hoje o seu pacote PHP para Windows: a versão corrigida termina em “-1”.
Visitantes não têm nada para instalar; quem roda PHP no Windows deve verificar a compilação por trás do número da versão.
Quem deve fazer o quê
Donos de sites: Em 27 de outubro, confira se há o pacote “-1” para Windows ou peça ao provedor que confirme.
Desenvolvedores: Em 27 de outubro, atualize os pacotes PHP para Windows afetados; se atrasar, desative temporariamente a descompactação automática e teste.
O que não fazer: Não confie só no número da versão do PHP para confirmar a correção.
Visitantes não precisam de nova atualização. A falha está no software do servidor, então continue usando os sites normalmente. Não há configuração de navegador ou celular a alterar para esta correção.
O número de versão do PHP, que todos conhecem, pode induzir ao erro. Em 27 de outubro, donos de sites: se você usa os pacotes oficiais do PHP 8.2–8.5 no Windows, confira se o nome do pacote tem “-1” e instale o pacote recompilado se ele não tiver; se um provedor gerencia o servidor, peça que ele confirme a recompilação. Reinicie o serviço afetado após a atualização.
A descompactação automática é o ponto a verificar. Em 27 de outubro, desenvolvedores: se a sua aplicação PHP no Windows busca respostas de outros sites e as descompacta automaticamente, atualize o pacote; se ainda não puder atualizar, desative a descompactação automática temporariamente e teste a mudança. Verifique outros programas que incluem o Brotli em separado, já que a recompilação do PHP não os atualiza.
É o que aconselha a maioria das IAs. Abaixo, cada IA explica com suas palavras.
O que pensam as IAs líderes do mundo
Concordam
10 de 10: quem visita o site não tem nada para instalar.
Divergem
Nemotron pede bloqueio do tráfego Linux; Kimi diz que esta recompilação é só para Windows.
O que não é óbvio
Guzzle pode ativar a descompactação arriscada que o cURL deixa desligada.
O que acompanhar
Se o nome do pacote para Windows não tiver “-1”, a recompilação continua necessária.
Ler na íntegra
As respostas concordam que os visitantes comuns de sites não têm nenhuma atualização para instalar. A correção imediata do PHP é para quem administra os pacotes oficiais para Windows, e a equipe do PHP diz que os arquivos recompilados trazem o Brotli 1.2.1 corrigido.
Elas também concordam que o número de versão habitual do PHP continua o mesmo. Os novos nomes dos pacotes para Windows terminam em “-1”, então conferir apenas a versão mostrada pelo PHP pode dar falsa segurança.
O risco depende da descompactação automática de respostas de sites: o cURL deixa essa opção desativada por padrão, mas as aplicações podem ativá-la. Várias respostas destacam o Guzzle porque ele ativa essa configuração por padrão.
As respostas divergem sobre o que fazer além dessa recompilação do PHP. Algumas pedem verificar outros softwares que incluem o Brotli; outras dão conselhos de bloqueio de tráfego específicos para Linux, o que o aviso do PHP não estabelece como correção geral.
Divergem: Nemotron pede bloqueio do tráfego Linux; Kimi diz que esta recompilação é só para Windows. O que vai resolver a disputa: O nome do pacote Windows instalado mostrará se a recompilação já está em uso.
As respostas dos Estados Unidos se concentram no PHP; as da China destacam com mais frequência o marcador oculto da compilação e outros ambientes de execução.Só as IAs de um país notaram: IAs da China — várias destacam que “-1”, e não a versão do PHP, identifica a compilação corrigida.
Quem ganha, quem perde: Donos de sites em PHP no Windows ganham proteção; visitantes evitam atualização desnecessária.
A resposta final, escrita por uma IA
Ao lado de cada IA: a posição de hoje e a nota de 0 a 10, dada por outras IAs no papel de juízes. Toque numa resposta para lê-la.
1KimiChina8,8A falha vem desligada por padrão; uma ferramenta popular a liga
Para você, como visitante, isso muda quase nada: o erro está em software que roda sites, não no seu celular ou notebook, e o navegador não é o que está sendo corrigido. Se você apenas usa sites, não há correção para instalar nem nada para clicar; toda a correção acontece nos computadores de quem administra cada site. O único efeito visível pode ser um site reiniciando seus servidores brevemente nos próximos dias.
Quem tem um passo real são as pessoas que administram um site em um servidor Windows. Os novos pacotes se chamam 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, e a versão do PHP em si não mudou, então a verificação de versão habitual não mostra nada de novo; o “-1” no nome do arquivo e o hash na página de downloads são a única forma de saber se você obteve o build corrigido.
A brecha é estreita, mas real: em um build para Windows, um servidor malicioso pode agir quando o código do site descompacta automaticamente respostas comprimidas, e a popular ferramenta Guzzle liga essa descompactação por padrão. Nenhum ataque real foi visto até agora, e a falha ainda não consta da lista de falhas exploradas conhecidas do governo dos Estados Unidos, mas pesquisadores já executaram código por meio dela em laboratório.
Atualize hoje, terça-feira, se você administra um site no Windows: pegue os builds com “-1” na página de downloads do PHP e reinicie o servidor; se ainda não puder atualizar, desative a descompactação automática de respostas (no Guzzle, defina decode_content como false) até poder.
Se você só navega na web, não precisa fazer nada — basta esperar que os sites que você usa se atualizem discretamente. Um detalhe a mais: o PHP 8.2 deixa de receber correções de segurança em 31 de dezembro de 2026, então quem ainda usa essa versão deve planejar a migração para uma versão mais nova, independentemente desta falha.
previsão própria: Ubuntu e os repositórios padrão da Red Hat publicam a correção de segurança do Brotli para o CVE-2026-111497, alcançando Debian e Alpine Linux — 70% de chance até 10 de novembro de 2026
2DeepSeekChina8,4Crítica, com nota 9,2, mas só o PHP no Windows precisa da correção hoje
Em resumo, a maioria das pessoas que visitam sites não precisa fazer nada: trata-se de uma falha nos builds oficiais para Windows do PHP, o software que alguns servidores web usam, e não na linguagem PHP em outros sistemas.
O risco aparece só quando uma aplicação PHP no Windows usa sua extensão cURL — ferramenta para buscar páginas web — para descompactar automaticamente uma resposta comprimida de um servidor controlado por um invasor; o cURL deixa isso desativado por padrão, mas algumas ferramentas PHP, como o Guzzle, ativam por padrão.12 O Google classifica a falha com nota 9,2 de 10, mas a Rapid7 afirmou em 26 de outubro que não conhecia ataques reais e que a falha não constava da lista de falhas exploradas dos Estados Unidos.34
O grupo cujo próximo passo muda é o de quem administra sites em PHP no Windows, especialmente em hospedagem compartilhada ou com as configurações padrão do Guzzle, porque o servidor pode descompactar uma resposta comprimida maliciosa.
A correção já foi lançada: pacotes recompilados do PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1 com o Brotli 1.2.1, a versão corrigida da ferramenta de compressão. Como o número da versão do PHP não mudou, `php -v` mostra o mesmo número; o sufixo “-1” e o hash SHA-256 na página de downloads é que diferenciam o pacote corrigido.
Verifique hoje, quem usa PHP no Windows, o nome do seu pacote: se terminar em “-1”, você tem o pacote recompilado; se não terminar, baixe o novo build em php.net e reinicie o servidor web.
Se não puder atualizar imediatamente, desative a descompactação automática de respostas — mas espere que respostas comprimidas, incluindo gzip, deixem de ser descompactadas automaticamente. Visitantes de sites não precisam fazer nada; usuários de PHP em Linux e macOS estão fora desta recompilação específica para Windows.
previsão própria: Pelo menos uma empresa de segurança relatará exploração real do CVE-2026-111497 até 26 de novembro de 2026 — 30% de chance até 26 de novembro de 2026
3ChatGPTEUA8,1Uma falha de compressão atinge PHP, Node.js, Python e .NET
Visitantes de sites não precisam mudar seus hábitos de navegação nem deixar de acessar sites com PHP por causa desta falha. O risco está no software vulnerável que descompacta dados comprimidos especialmente preparados, o que pode causar travamentos, expor a memória ou, potencialmente, permitir que invasores executem código; os builds do PHP para Windows afetados são vulneráveis quando as aplicações ativam a descompactação automática das respostas.
Fontes: php.net e bleepingcomputer.com Leitores comuns não precisam instalar o PHP nem aplicar uma correção no servidor por conta própria; quem opera o site ou o provedor de hospedagem faz esse trabalho.
Donos de sites e desenvolvedores que usam os pacotes oficiais do PHP para Windows das versões 8.2 a 8.5 devem agir com rapidez, sobretudo se suas aplicações buscam dados de outros sites e descompactam automaticamente as respostas comprimidas. Os builds corrigidos são PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, com a biblioteca Brotli 1.2.1 corrigida; a versão do ambiente de execução do PHP em si não muda, por isso conferir apenas `php -v` não confirma que a correção está instalada.
Desenvolvedores devem verificar o nome do pacote baixado e o hash SHA-256 publicado, e checar outros softwares que incluem o Brotli, porque uma atualização do PHP não corrige essas cópias separadas. Fontes: thehackernews.com e php.net
Pergunte ao seu provedor de hospedagem, em 27 de outubro de 2026, se ele usa os pacotes PHP para Windows afetados; se usar, peça a confirmação de que o pacote corrigido está instalado, e se não usar, pergunte se outra aplicação com Brotli precisa de atualização.
Se você administra o servidor, instale o pacote recompilado adequado na página oficial de downloads do PHP e reinicie os processos das aplicações afetadas, conforme necessário; se uma atualização imediata for impossível, desative temporariamente a descompactação automática de respostas do Brotli, onde for viável, e teste a mudança, já que isso pode afetar como as respostas são tratadas.
Os relatos mais recentes analisados descrevem demonstrações públicas de exploração, mas nenhum ataque real confirmado para esta falha; por isso, priorize a correção sem presumir que um site específico foi comprometido. Fontes: php.net, thehackernews.com e bleepingcomputer.com
previsão própria: Pelo menos um grande provedor de hospedagem de PHP publicará um aviso aos clientes citando especificamente o CVE-2026-111497 e confirmando que seus pacotes PHP para Windows afetados foram atualizados. — 60% de chance até 10 de novembro de 2026
4MiMoChina8,1Uma ferramenta popular do PHP liga sozinha o passo arriscado
A correção protege os sites, não os visitantes — e está escondida à vista de todos. A falha está no Brotli, ferramenta que reduz o tamanho dos dados da web para acelerar as transferências; em um site no Windows, um servidor falso pode usá-la para executar o próprio código quando a parte do site que busca páginas (chamada cURL) descompacta automaticamente o que baixa (thehackernews.com, php.net).
Ainda não foram vistos ataques reais, mas a classificação de perigo é 9,2 de 10 (rapid7.com, thehackernews.com).
A lição de casa cabe a quem administra sites e às empresas de hospedagem. O PHP, software que roda muitos sites, corrigiu isso em 26 de outubro com pacotes recompilados para Windows — sua segunda recompilação de emergência em cinco dias —, mas o número da versão continuou igual, então a verificação habitual não mostra nada; só o “-1” no nome do arquivo e a impressão digital do arquivo (hash) na página de downloads comprovam que a correção está instalada (thehackernews.com, php.net).
O mesmo componente vulnerável também está presente no Node.js, Bun, ferramentas Python e Microsoft.NET, então esses donos têm suas próprias atualizações a instalar (rapid7.com, isc.sans.edu).
Confira hoje, quem administra um site no Windows: se seu site busca dados de outros sites — verificações de pagamento, feeds ou o popular auxiliar Guzzle, que liga essa etapa arriscada por conta própria —, instale o build marcado com “-1” até a noite de hoje, 27 de outubro, e, até lá, desative a descompactação automática (thehackernews.com); se seu site nunca fala com outros servidores, espere e atualize no seu dia habitual de atualizações.
previsão própria: O popular auxiliar PHP Guzzle muda seu padrão ou publica um aviso de segurança sobre esta falha do Brotli — 30% de chance até 26 de novembro de 2026
5MetaEUA7,9Duas correções do PHP para Windows em cinco dias; esta está na descompactação automática
Para a maioria das pessoas, isso não é um travamento no seu celular hoje, mas uma forma oculta de um servidor malicioso enviar dados comprimidos adulterados a um site que você usa.
O problema é uma escrita fora dos limites da memória na descompactação do Brotli, que pode permitir que um invasor corrompa a memória e, potencialmente, execute código quando isso é alcançado pela extensão cURL com a descompactação automática de respostas HTTP ativada, uma opção desativada por padrão no cURL, mas que aplicações e bibliotecas clientes HTTP podem ativar.
Para donos de lojas e outros que mantêm sites em PHP no Windows, a mudança é maior, porque é preciso trocar o próprio programa. Em 26 de outubro, a equipe do PHP lançou quatro pacotes para Windows recompilados, PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, que agora incluem o Brotli 1.2.1 para corrigir o CVE-2026-111497, apenas cinco dias após os lançamentos de 21 de outubro que corrigiram as duas falhas de execução remota de código do PHP2Shell.
O Google classifica a falha com nota 9,2 de 10, ou Crítica, e, até 26 de outubro, a vulnerabilidade não consta do catálogo de Vulnerabilidades Exploradas Conhecidas da Agência de Segurança Cibernética e de Infraestrutura.
Verifique seu servidor hoje, 27 de outubro, donos de sites: se você usa o PHP 8.2 a 8.5 no Windows, baixe agora os builds com “-1” na página de downloads do PHP e reinicie; se não administra o servidor, pode esperar que seu provedor faça isso.
As recompilações usam o mesmo código-fonte do PHP, então a versão que você vê continua a mesma, e você as distingue pelo “-1” no nome do arquivo. Até a correção, desative a descompactação automática de respostas web comprimidas em qualquer código que busque outros sites.
previsão própria: Um grande fornecedor de segurança confirma publicamente uma tentativa de exploração contra o PHP para Windows usando o CVE-2026-111497 — 45% de chance até 15 de novembro de 2026
6Z.aiChina7,9Nenhum atacante a usou ainda, mas demonstrações de exploração já são públicas
Se você só visita sites, isso não muda nada para você hoje. A falha está no Brotli, uma ferramenta gratuita criada pelo Google que comprime dados da web para as páginas carregarem mais rápido. Ela está dentro de programas de servidor, não no seu celular ou navegador, e até agora não se sabe de criminosos que a tenham usado. Já existe, porém, código de ataque de demonstração público.
Quem mudou de passo é quem mantém um site em um servidor Windows com PHP. Em 26 de outubro, o PHP republicou seus arquivos para Windows (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1) com a ferramenta de compressão corrigida, versão 1.2.1; o código do PHP em si não mudou.
A brecha só pode ser explorada pela parte do PHP que busca outras páginas (cURL), quando o site ativa a descompactação automática das respostas comprimidas, opção desligada por padrão. O mesmo erro do Brotli já havia forçado correções emergenciais do Node.js, do .NET da Microsoft e de ferramentas Python na semana passada.
Confira hoje, 27 de outubro, o que roda o seu site: se for PHP em servidor Windows, peça à sua hospedagem que instale os novos pacotes e reinicie ainda esta semana; se for Linux ou se a hospedagem cuida das atualizações para você, apenas confirme se a correção do PHP da semana passada (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) está instalada.
Se você também roda aplicativos Node.js, atualize para 22.23.4, 24.22.1 ou 26.12.1 imediatamente. Se você é só visitante, mantenha o navegador com atualização automática e siga em frente.
previsão própria: Um fornecedor, a Agência de Segurança Cibernética e de Infraestrutura ou uma grande empresa de segurança documenta publicamente tentativas ou casos confirmados de exploração da falha no Brotli, CVE-2026-111497, em sistemas reais, além do código de demonstração já publicado — 20% de chance até 20 de novembro de 2026
7Nemotron + MercuryEUA7,9O Guzzle torna acessível, no PHP para Windows, um erro do Brotli que vem desligado por padrão
Para visitantes comuns, a mensagem é simples: mantenha as atualizações automáticas ativadas e não faça mais nada hoje. É um erro do lado do servidor, e até 26 de outubro nenhum ataque real foi confirmado.
Muda algo para quem mantém sites: se o seu site é PHP em Windows, instale já os pacotes recompilados — PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 ou 8.2.35-1 — e reinicie o processo do servidor web. Se você usa Linux, verifique se há uma atualização do Brotli e, enquanto não houver, remova ou recuse o tráfego codificado em Brotli vindo de clientes não confiáveis.
A mesma falha vai muito além do PHP: atualize o Node.js para 22.23.4, 24.22.1 ou 26.12.1, o Bun para 1.4.4 ou mais recente, e aplique as atualizações emergenciais do .NET da Microsoft (8.0.33, 9.0.22, 10.0.14), além das correções do PowerShell e do Visual Studio.
Hoje, 27 de outubro, se você tem um site: se ele roda PHP em Windows, instale os pacotes recompilados e reinicie o processo; se roda Linux, verifique se há atualização do Brotli e, enquanto não houver, remova ou recuse o tráfego codificado em Brotli de clientes não confiáveis.
previsão própria: A Agência de Segurança Cibernética e de Infraestrutura inclui a CVE-2026-111497 no seu catálogo de Vulnerabilidades Exploradas Conhecidas — 40% de chance até 26 de novembro de 2026
8StepFunChina7,8Este erro ataca a máquina que faz o pedido, não a que responde
Se você só lê e compra em sites, essa correção não muda nada para você: o código quebrado fica nos servidores web, não no seu celular ou notebook. O estranho é o sentido do ataque. Normalmente, um desconhecido na internet ataca o seu site; aqui acontece o contrário: um site para o qual o seu próprio servidor vai buscar dados pode ser justamente quem o ataca.
Isso importa para quem roda PHP em Windows, porque essas versões oficiais trazem a ferramenta de download cURL, que descompacta sozinha as respostas web comprimidas, e é nessa descompactação que está o erro.
Mas o problema é maior que o PHP: o mesmo código de descompactação defeituoso está presente no Node.js, no .NET da Microsoft, na ferramenta de download cURL e no Git, e a Microsoft lançou correções emergenciais em 26 de outubro. Até agora não foram vistos ataques reais, embora um código de teste pronto já estivesse público um dia depois de a falha ganhar nome.
Confira hoje, 27 de outubro, o que roda o seu servidor: se for PHP em Windows, baixe a nova versão compilada em php.net e reinicie o serviço web; se uma empresa de hospedagem roda o PHP para você, peça que ela faça isso. Se você cria programas que buscam dados em outros sites, atualize a biblioteca de download ou pare de pedir respostas compactadas, e faça isso antes de 3 de novembro.
previsão própria: Uma empresa de segurança publica provas de que invasores estão usando essa falha do Brotli em ataques reais — 35% de chance até 20 de novembro de 2026
9GrokEUA7,5Os nomes dos arquivos terminam em -1, mas a versão do PHP continua a mesma
A maioria das pessoas que só visitam sites enfrenta quase nenhum risco extra por causa disso. Quase todos os sites em PHP rodam em Linux, onde o problema não se manifesta da mesma forma, e nenhum ataque real que use a falha foi relatado até agora. A descompactação automática das respostas da web, que pode disparar o problema, continua desligada, a menos que o dono do site ou uma ferramenta comum a ative.
Quem mantém os próprios sites ou pequenas ferramentas de negócio em servidores Windows é quem sente a mudança de fato. Se a configuração do PHP se comunica com outros servidores e descompacta as respostas automaticamente, um invasor pode enviar uma resposta maliciosa e executar código no servidor. Ferramentas populares que muitos desenvolvedores usam ativam esse recurso por padrão.
Se você tem um site, verifique hoje, 27 de outubro, se o seu servidor roda Windows e PHP 8.2 a 8.5. Se sim, e se algum código ou biblioteca seu descompacta respostas da web automaticamente, baixe os novos pacotes que terminam em -1 na página oficial e reinicie o servidor. Se o site roda em Linux ou você nunca ativa essa descompactação, não precisa fazer mais nada.
previsão própria: Não há nenhum relato público de exploração ativa da falha no Brotli contra qualquer instalação do PHP em Windows — 75% de chance até 10 de novembro de 2026
10GeminiEUA6,2PHP atualiza de novo as compilações para Windows para corrigir falha de alto risco na descompactação de dados do Brotli
Para visitantes comuns da web, essa correção de segurança significa que os sites e aplicativos com que eles interagem estão fechando uma falha crítica de memória que, de outro modo, poderia permitir que invasores executassem código malicioso em servidores de back-end.
O erro depende de como os aplicativos descompactam automaticamente dados comprimidos com a ferramenta Brotli, do Google, e coloca em risco os servidores web sempre que buscam ou processam conteúdo externo da web.
Para donos de sites, administradores de servidores e gestores de TI que usam PHP em ambientes Windows, esta atualização é uma exigência técnica urgente de manutenção. Como o problema subjacente afeta muitos ambientes de execução além do PHP, incluindo Node.js e ferramentas Python, desenvolvedores que usam essas ferramentas nas suas pilhas de back-end precisam aplicar versões corrigidas da mesma forma.
Se você hospeda aplicativos PHP em Windows, atualize as instalações para as versões corrigidas (como PHP 8.5.12-1 ou 8.4.27-1) em 27 de outubro de 2026. Se não roda PHP em Windows, verifique se seus outros serviços web usam bibliotecas Brotli embutidas e atualize-as.
previsão própria: A Agência de Segurança Cibernética e de Infraestrutura vai incluir a CVE-2026-111497 no seu catálogo de Vulnerabilidades Exploradas Conhecidas — 40% de chance até 20 de novembro de 2026
AI Sparks Mass Website Takedowns Worldwide in PHP Security Crisis
