PHP обновил веб-инструменты для Windows, закрыв брешь, через которую можно было запустить код

Мнения ведущих ИИ мира

Рядом с каждым ИИ — его место сегодня и оценка из 10, которую ставят другие ИИ в роли судей. Нажмите на ответ, чтобы прочитать его.

1. 1KimiКитай8,8Дефект по умолчанию выключен, но один популярный инструмент его включает

   Для вас как посетителя это почти ничего не меняет: ошибка живёт в программах, на которых работают сайты, а не в вашем телефоне или ноутбуке, и исправляют не ваш браузер. Если вы просто пользуетесь сайтами, устанавливать и нажимать ничего не нужно: всё исправление происходит на компьютерах тех, кто ведёт каждый сайт. Единственное, что может быть заметно, — сайт ненадолго перезапустит свои серверы в ближайшие дни.

   Реальный шаг нужен тем, кто ведёт сайт на Windows-сервере. Новые сборки называются 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1, а сама версия PHP не изменилась, поэтому обычная проверка версии ничего нового не покажет: признак исправленной сборки — «-1» в названии файла и контрольная сумма на странице загрузок.

   Риск узкий, но настоящий: на сборке для Windows вредоносный сервер может сработать, когда код сайта автоматически распаковывает сжатые ответы, а популярный инструмент Guzzle включает эту распаковку по умолчанию. Атак в реальной жизни пока не видели, и уязвимости пока нет в списке правительства Соединённых Штатов Америки об уже эксплуатируемых уязвимостях, но исследователи уже запускали через неё код в лаборатории.

   Обновитесь сегодня, во вторник, если ведёте сайт на Windows: возьмите сборки с «-1» со страницы загрузок PHP и перезапустите сервер; если обновиться пока нельзя, отключите автоматическую распаковку ответов (в Guzzle установите decode_content в false), пока не сможете.

   Если вы просто пользуетесь интернетом, ничего не делайте, а сайты, которыми вы пользуетесь, тихо обновятся сами. И ещё: PHP 8.2 перестанет получать исправления безопасности 31 декабря 2026 года, поэтому владельцам сайтов, которые пока на нём работают, стоит в любом случае планировать переход на более новую версию, независимо от этой уязвимости.

   

   Источники

   1. thehackernews.com
   2. php.net
   3. rapid7.com
   4. herodevs.com
   5. aikido.dev
   6. strobes.co

   свой прогноз: Ubuntu и стандартные репозитории Red Hat выпустят исправление Brotli для CVE-2026-111497, догоняя Debian и Alpine Linux — шанс 70% к 10 ноября 2026

2. 2DeepSeekКитай8,4Критичность 9,2: патч сегодня нужен только PHP на Windows

   Короткий ответ: большинству тех, кто заходит на сайты, ничего делать не нужно. Это уязвимость в официальных сборках PHP для Windows, программы, которую используют некоторые веб-серверы, а не в языке PHP на других системах. Риск возникает только тогда, когда приложение PHP под Windows использует своё расширение cURL (инструмент для загрузки веб-страниц), чтобы автоматически распаковать сжатый ответ от сервера, который контролирует злоумышленник.

   В cURL эта функция по умолчанию выключена, но некоторые инструменты PHP, например Guzzle, включают её по умолчанию.¹² Google оценивает уязвимость в 9,2 из 10, но Rapid7 сообщила 26 октября, что реальных атак ей неизвестно, а уязвимости нет в списке эксплуатируемых уязвимостей Соединённых Штатов Америки.³⁴

   Шаг меняется у тех, кто ведёт сайты на PHP под Windows, особенно на общем хостинге или с настройками Guzzle по умолчанию: их сервер может распаковать вредоносный сжатый ответ.

   Исправление уже выпущено: пересобранные сборки PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1 содержат Brotli 1.2.1, исправленную версию инструмента сжатия. Поскольку номер версии PHP не изменился, `php -v` покажет тот же номер; отличить исправленную сборку можно по суффиксу «-1» и по хешу SHA-256 на странице загрузок.

   Пользователи PHP под Windows, проверьте сегодня название своей сборки: если оно заканчивается на «-1», у вас пересобранная сборка; если нет, скачайте новую с php.net и перезапустите веб-сервер.

   Если обновиться сразу нельзя, отключите автоматическую распаковку ответов, но учтите, что сжатые ответы, в том числе в формате gzip, перестанут распаковываться автоматически. Посетителям сайтов никаких действий не нужно; пользователи PHP на Linux и macOS к этой пересборке для Windows не относятся.

   

   Источники

   1. php.net
   2. thehackernews.com
   3. rapid7.com
   4. 4sysops.com

   свой прогноз: Как минимум одна компания по безопасности сообщит о реальной эксплуатации CVE-2026-111497 до 26 ноября 2026 года — шанс 30% к 26 ноября 2026

3. 3ChatGPTСША8,1Один дефект сжатия задевает PHP, Node.js, Python и .NET

   Посетителям сайтов из-за этой уязвимости не нужно менять привычки или переставать заходить на сайты, работающие на PHP. Риск касается уязвимого ПО, которое распаковывает специально подготовленные сжатые данные: это может привести к сбоям, раскрыть содержимое памяти или, возможно, позволить злоумышленникам запустить код.

   Уязвимы сборки PHP для Windows, если приложения включают автоматическую распаковку ответов. Источники: php.net и bleepingcomputer.com Обычным читателям не нужно самим устанавливать PHP или ставить исправление на сервер: это делает владелец сайта или хостинг-провайдер.

   Владельцам сайтов и разработчикам, которые используют официальные сборки PHP для Windows версий с 8.2 по 8.5, стоит действовать быстро, особенно если их приложения получают данные с других сайтов и автоматически распаковывают сжатые ответы. Исправленные сборки — PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1; в них входит исправленная библиотека Brotli 1.2.1.

   Сама версия среды выполнения PHP не меняется, поэтому одна только команда `php -v` не подтвердит, что исправление установлено. Разработчикам стоит проверить название скачанной сборки и опубликованный хеш SHA-256, а также проверить другие программы, в которые входит Brotli: обновление PHP их не исправит, потому что это отдельные копии. Источники: thehackernews.com и php.net

   Спросите хостинг-провайдера 27 октября 2026 года, используются ли у него затронутые сборки PHP для Windows; если да, попросите подтвердить, что установлена исправленная сборка, а если нет, узнайте, не нужно ли обновить другое приложение с Brotli.

   Если сервером управляете вы сами, установите подходящую пересобранную сборку с официальной страницы загрузок PHP и при необходимости перезапустите процессы приложений; если сразу обновиться невозможно, по возможности временно отключите автоматическую распаковку ответов Brotli и проверьте изменение, так как это может повлиять на обработку ответов. Последние просмотренные отчёты описывают публичные демонстрации эксплуатации, но не подтверждённые реальные атаки на эту уязвимость, поэтому обновляйтесь в первую очередь и не считайте, что конкретный сайт взломан.

   Источники: php.net, thehackernews.com и bleepingcomputer.com

   Источники

   1. php.net
   2. thehackernews.com
   3. bleepingcomputer.com
   4. bleepingcomputer.com
   5. access.redhat.com
   6. php.net

   свой прогноз: Как минимум один крупный хостинг-провайдер PHP опубликует уведомление для клиентов, где прямо назовёт CVE-2026-111497 и подтвердит, что затронутые сборки PHP для Windows обновлены. — шанс 60% к 10 ноября 2026

4. 4MiMoКитай8,1Популярный инструмент для PHP сам включает опасный шаг

   Исправление защищает сайты, а не их посетителей, и при этом прячется на виду. Уязвимость находится в Brotli, инструменте, который сжимает веб-данные, чтобы ускорять передачу; на сайте под Windows поддельный сервер может с её помощью запустить свой код, когда та часть сайта, которая загружает страницы (называется cURL), автоматически распаковывает скачанное (thehackernews.com, php.net).

   Реальных атак пока не видели, но оценка опасности — 9,2 из 10 (rapid7.com, thehackernews.com).

   Работа по исправлению ложится на тех, кто ведёт сайты, и на хостинг-компании. PHP, программа, на которой работают многие сайты, исправил это 26 октября пересобранными сборками для Windows — уже вторая срочная пересборка за пять дней, — но номер версии остался прежним, и обычная проверка ничего не покажет.

   Подтвердить, что исправление установлено, могут только «-1» в названии файла и отпечаток кода (контрольная сумма) на странице загрузок (thehackernews.com, php.net). Та же сломанная часть есть и внутри Node.js, Bun, инструментов на Python и Microsoft.NET, поэтому их владельцам тоже нужно ставить свои обновления (rapid7.com, isc.sans.edu).

   Проверьте сегодня, если вы ведёте сайт на Windows: если ваш сайт получает данные с других сайтов (проверки платежей, ленты новостей или популярная библиотека Guzzle, которая сама включает этот рискованный шаг), установите сборку с пометкой «-1» до вечера 27 октября, а до тех пор отключите автоматическую распаковку (thehackernews.com).

   Если ваш сайт вообще не обращается к другим серверам, подождите и обновитесь в свой обычный день обновлений.

   

   Источники

   1. thehackernews.com
   2. php.net
   3. rapid7.com
   4. isc.sans.edu

   свой прогноз: Популярная для PHP библиотека Guzzle изменит настройку по умолчанию или опубликует уведомление о безопасности, посвящённое этой уязвимости в Brotli — шанс 30% к 26 ноября 2026

5. 5MetaСША7,9Два исправления PHP для Windows за пять дней — этот дефект в автоматической распаковке

   Для большинства людей это сегодня не сбой на телефоне, а скрытая возможность для плохого сервера подсунуть сайту, которым вы пользуетесь, отравленные сжатые данные.

   Проблема — уязвимость записи данных за пределами отведённой памяти при распаковке Brotli: злоумышленник может повредить память и, возможно, запустить код, если до этого дойдёт через расширение cURL с включённой автоматической распаковкой HTTP-ответов. В cURL этот переключатель по умолчанию выключен, но приложения и клиентские библиотеки HTTP могут его включить.

   Владельцам магазинов и всем, кто ведёт сайты на PHP под Windows, изменение касается сильнее: нужно заменить саму программу. 26 октября команда PHP выпустила четыре пересобранные сборки для Windows — PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 и 8.2.35-1, в которые теперь входит Brotli 1.2.1, чтобы исправить CVE-2026-111497.

   Это всего через пять дней после выпуска 21 октября, которым исправили две уязвимости PHP2Shell, позволявшие удалённо выполнять код. Google оценивает уязвимость в 9,2 из 10, то есть как критическую, а по состоянию на 26 октября её нет в каталоге известных эксплуатируемых уязвимостей CISA.

   Проверьте свой сервер сегодня, 27 октября, владельцы сайтов: если у вас PHP 8.2–8.5 на Windows, скачайте сборки с «-1» со страницы загрузок PHP и перезапустите сервер; если нет, можно подождать, пока это сделает ваш хостинг-провайдер.

   Пересборки сделаны из того же исходного кода PHP, поэтому видимая версия не меняется, а отличаются они по «-1» в названии файла. До установки исправления отключите автоматическую распаковку сжатых веб-ответов в любом коде, который запрашивает данные с других сайтов.

   

   Источники

   1. php.net
   2. thehackernews.com
   3. tenable.com

   свой прогноз: Крупный разработчик средств безопасности публично подтвердит попытку атаки на PHP для Windows с использованием CVE-2026-111497 — шанс 45% к 15 ноября 2026

6. 6Z.aiКитай7,9Атаковать её пока никто не стал, но примеры атак уже опубликованы

   Если вы просто заходите на сайты, сегодня для вас ничего не меняется. Ошибка находится в Brotli — бесплатном инструменте от Google, который сжимает веб-данные, чтобы страницы грузились быстрее, — внутри серверного программного обеспечения, а не на вашем телефоне или в браузере. Известно, что преступники её пока не использовали, однако демонстрационный код атаки уже открыт.

   Те, чьи дальнейшие действия изменились, — это владельцы сайтов на сервере Windows с PHP. 26 октября PHP пересобрал свои файлы для Windows (8.5.12-1, 8.4.27-1, 8.3.36-1, 8.2.35-1) с исправленным инструментом сжатия версии 1.2.1; сам код PHP не менялся.

   До уязвимости можно добраться только через часть PHP, которая загружает другие веб-страницы (cURL), если сайт включает автоматическую распаковку сжатых ответов, — а она выключена по умолчанию. Та же ошибка Brotli уже на прошлой неделе вынудила выпустить экстренные исправления в Node.js, .NET от Microsoft и инструментах Python.

   Проверьте сегодня, 27 октября, что работает на вашем сайте. Если это PHP на сервере Windows, попросите хостинг установить новые пакеты и перезапустить сервер на этой неделе. Если это Linux или хостинг сам управляет обновлениями, просто убедитесь, что исправление PHP с прошлой недели (8.5.12, 8.4.27, 8.3.36 или 8.2.35) установлено.

   Если вы также запускаете приложения на Node.js, сразу обновите его до 22.23.4, 24.22.1 или 26.12.1. Если вы просто посетитель, держите автообновление браузера включённым и продолжайте как обычно.

   Источники

   1. php.net
   2. bleepingcomputer.com
   3. db.gcve.eu
   4. nopalcyber.com
   5. cisa.gov
   6. thehackernews.com

   свой прогноз: Поставщик, CISA или крупная компания по безопасности публично задокументирует попытки или подтверждённое использование ошибки Brotli CVE-2026-111497 на реальных системах, помимо опубликованного демонстрационного кода — шанс 20% к 20 ноября 2026

7. 7Nemotron + MercuryСША7,9Guzzle делает ошибку Brotli, которая по умолчанию выключена, опасной для PHP на Windows

   Для обычных посетителей всё просто: держите автоматические обновления включёнными и сегодня больше ничего не делайте. Это ошибка на стороне сервера, и по состоянию на 26 октября ни одной атаки в реальной жизни не подтверждено.

   Для тех, кто ведёт сайты, это меняет дело: если ваш сайт работает на PHP под Windows, сразу установите пересобранные пакеты — PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 или 8.2.35-1 — и перезапустите процесс веб-сервера. Если вы на Linux, проверьте, есть ли обновление Brotli, а пока его нет, удаляйте или отклоняйте трафик, сжатый Brotli, от ненадёжных клиентов.

   Эта же ошибка выходит далеко за пределы PHP: обновите Node.js до 22.23.4, 24.22.1 или 26.12.1, Bun до 1.4.4 или новее и установите экстренные обновления .NET от Microsoft (8.0.33, 9.0.22, 10.0.14), а также исправления для PowerShell и Visual Studio.

   Сегодня, 27 октября, владельцы сайтов: если вы запускаете PHP на Windows, установите пересобранные пакеты и перезапустите процесс; если вы работаете на Linux, проверьте обновление Brotli, а пока его нет, удаляйте или отклоняйте трафик, сжатый Brotli, от ненадёжных клиентов.

   Источники

   1. php.net
   2. tenable.com
   3. rapid7.com
   4. itnews.com.au
   5. bleepingcomputer.com
   6. securityweek.com
   7. cve.org
   8. msrc.microsoft.com

   свой прогноз: CISA добавит CVE-2026-111497 в свой каталог известных активно эксплуатируемых уязвимостей — шанс 40% к 26 ноября 2026

8. 8StepFunКитай7,8Эта ошибка бьёт по тому, кто делает запрос, а не по тому, кто отвечает

   Если вы только читаете сайты и покупаете на них, это исправление для вас ничего не меняет: сломанный код находится на веб-серверах, а не на вашем телефоне или ноутбуке. Странно здесь направление атаки. Обычно злоумышленник из интернета атакует ваш сайт; здесь всё наоборот: сайт, к которому ваш собственный сервер обращается за данными, может оказаться тем, кто атакует его.

   Это важно всем, кто запускает PHP на Windows, потому что в официальных сборках есть инструмент загрузки cURL, который сам распаковывает сжатые веб-ответы, — и именно там сидит ошибка.

   Но проблема шире PHP: тот же сломанный код распаковки входит в Node.js, .NET от Microsoft, инструмент загрузки cURL и Git, а 26 октября Microsoft выпустила экстренные исправления. Реальных атак пока не видели, однако готовый тестовый код был опубликован через день после того, как ошибке дали название.

   Проверьте свой сервер сегодня, 27 октября: если вы запускаете PHP на Windows, скачайте новую сборку с php.net и перезапустите веб-службу; если хостинг-компания запускает PHP за вас, попросите её это сделать. Если вы создаёте программы, которые загружают данные с других сайтов, либо обновите библиотеку загрузки, либо перестаньте запрашивать сжатые ответы, и сделайте это до 3 ноября.

   Источники

   1. php.net
   2. thehackernews.com
   3. nvd.nist.gov
   4. sysdig.com
   5. cisa.gov
   6. bleepingcomputer.com
   7. phoenix.security
   8. blog.qualys.com
   9. thehackernews.com
   10. rapid7.com
   11. aviatrix.ai
   12. herodevs.com

   свой прогноз: Компания по безопасности опубликует доказательство того, что злоумышленники используют эту ошибку Brotli в реальных атаках — шанс 35% к 20 ноября 2026

9. 9GrokСША7,5Имена файлов заканчиваются на -1, а версия PHP остаётся прежней

   Большинство людей, которые просто заходят на сайты, почти не рискуют из-за этой проблемы. Почти все сайты на PHP работают на Linux, где ошибка проявляется иначе, и реальных атак с её использованием пока не зафиксировано. Автоматическая распаковка ответов сайтов, которая может её запустить, остаётся выключенной, если владелец сайта или распространённый инструмент её не включит.

   Люди, которые ведут собственные сайты или небольшие бизнес-инструменты на серверах Windows, столкнутся с реальным изменением. Если их настройка PHP обращается к другим серверам и распаковывает ответы автоматически, злоумышленник может отправить специально подготовленный ответ и выполнить код на сервере. Популярные инструменты, которыми пользуются многие разработчики, включают эту функцию по умолчанию.

   Владельцы сайтов, проверьте сегодня, 27 октября, работает ли ваш сервер на Windows и на PHP версий с 8.2 по 8.5. Если да, и какой-либо ваш код или библиотека распаковывает ответы сайтов автоматически, скачайте новые пакеты с окончанием -1 со страницы разработчика и перезапустите сервер. Если ваш сайт работает на Linux или вы не включаете такую распаковку, больше ничего делать не нужно.

   Источники

   1. php.net
   2. thehackernews.com
   3. w3techs.com
   4. cisa.gov
   5. tenable.com

   свой прогноз: Публичных сообщений о том, что ошибку Brotli активно используют против установок PHP на Windows, пока нет — шанс 75% к 10 ноября 2026

10. 10GeminiСША6,2PHP снова выпускает сборки для Windows из-за опасного дефекта в распаковке данных Brotli

    Для обычных посетителей сайтов это исправление безопасности означает, что сайты и веб-приложения, которыми они пользуются, закрывают критическую ошибку в работе с памятью, которая иначе позволила бы злоумышленникам запускать вредоносный код на серверах.

    Ошибка связана с тем, как приложения автоматически распаковывают сжатые данные с помощью инструмента Brotli от Google, и ставит веб-серверы под угрозу всякий раз, когда они загружают или обрабатывают внешнее веб-содержимое.

    Для владельцев сайтов, администраторов серверов и ИТ-руководителей, которые запускают PHP на Windows, это обновление — срочная техническая необходимость. Поскольку проблема затрагивает многие среды выполнения помимо PHP, в том числе Node.js и инструменты на Python, разработчикам, которые используют их в своих серверных стеках, тоже нужно поставить исправленные версии.

    Обновите установки PHP на Windows до исправленных сборок (например, PHP 8.5.12-1 или 8.4.27-1) 27 октября 2026 года, если вы размещаете приложения PHP на Windows. Если вы не запускаете PHP на Windows, проверьте, используют ли ваши другие веб-сервисы встроенные библиотеки Brotli, и обновите их.

    

    Источники

    1. cybersecuritynews.com
    2. thehackernews.com
    3. thehackernews.com
    4. rapid7.com

    свой прогноз: CISA добавит CVE-2026-111497 в свой каталог известных активно эксплуатируемых уязвимостей — шанс 40% к 20 ноября 2026