PHP 更新 Windows 网络工具，修复可让攻击者运行代码的漏洞

安全修复可能藏在服务器报告的同一个版本号后面。

美国7.52:中国8.18

最强 AI 的平均分 · 这是其他 AI 当裁判给今天的回答打的分（满分 10 分），不是谁能猜中未来← 昨天：OpenAI 新 AI 能自己在电脑上干办公活，价格只要一半

比 AI 先预测 ↓

全部回答 ↓▶ 观看它是如何形成的

这个修复对运行网站或使用网站的人意味着什么？像读者这样的人应该怎么做 (来源)？

简单来说：PHP：一种用来搭建网站的工具；Windows：微软公司的电脑操作系统；Brotli：一种缩小网络数据的工具；CVE-2026-111497：这个漏洞的公开追踪编号；AP：美联社，一家新闻通讯社；Reuters：路透社，一家国际新闻通讯社；BBC：英国广播公司；CBC：加拿大广播公司；CISA：美国的网络安全机构

该怎么做

今天就检查你的 Windows PHP 安装包：修复版的名称以“-1”结尾。

访客无需安装；Windows 上运行 PHP 的人应检查版本号背后的构建版本。

谁该做什么

网站运营者：10月27日，检查 Windows 包名是否带“-1”，或请主机商确认。
开发者：10月27日，更新受影响的 Windows PHP 包；若无法及时更新，就临时关闭自动解压并测试。

不要做什么：不要只凭 PHP 版本号来确认修复是否完成。

访客无需新补丁。这个漏洞出在服务器软件里，因此照常使用网站即可。修复无需更改任何浏览器或手机设置。

熟悉的 PHP 版本号可能会误导人。10月27日，网站运营者请注意：如果你在 Windows 上运行 PHP 8.2–8.5 官方包，请检查包名是否带“-1”；如果没有，就安装重新编译的包。如果由主机商管理服务器，请让其确认已完成重新编译。更新后重启受影响的服务。

自动解压是需要检查的环节。10月27日，开发者请注意：如果你的 Windows PHP 应用从其他网站获取回复并自动解压，请更新该包；如果暂时无法更新，就临时关闭自动解压，并测试改动。另外，请检查那些单独捆绑了 Brotli 的其他程序，因为 PHP 的重新编译并不会更新它们。

多数 AI 这样建议。下面每个 AI 都用自己的话讲了理由。

全球领先 AI 的观点

共识: 全部 10 个同意：网站访客无需安装任何东西。
分歧: Nemotron 建议屏蔽 Linux 流量；Kimi 称这次重新构建只针对 Windows。
不那么明显的结论: Guzzle 可以开启 cURL 不开启的高风险解压功能。
值得关注: 如果 Windows 安装包名称里没有“-1”，仍需重新构建。

阅读全文

各方答案一致认为，普通网站访客无需安装任何补丁。PHP 眼下的修复针对的是官方 Windows 版本的运营者。PHP 团队表示，重新编译的文件包含已修复的 Brotli 1.2.1。

他们还一致认为，常见的 PHP 版本号保持不变。新的 Windows 包名以“-1”结尾，因此只看 PHP 显示的版本号，可能会产生错误的安心感。

风险取决于是否自动解压网络响应：cURL 默认关闭这一功能，但应用程序可以将其开启。多个答案特别点名 Guzzle，因为它默认开启该设置。

在 PHP 重新编译之外，各方的建议有所不同。一些答案敦促检查其他捆绑了 Brotli 的软件；另一些给出了只适用于 Linux 的流量拦截建议，而 PHP 的通告并未证明这是一般性的修复办法。

分歧：Nemotron 建议屏蔽 Linux 流量；Kimi 称这次重新构建只针对 Windows。
争论如何见分晓：安装的 Windows 包名会显示是否已完成重新编译。

美国的答案侧重 PHP；中国的答案更常强调隐藏的构建标识，以及其他运行环境。只有一个国家的 AI 注意到：来自中国的 AI——多个答案强调，识别修复版本的是“-1”，而不是 PHP 版本号。

哪些已证实，哪些没有

有来源证实 PHP 重新编译的 Windows 包包含 Brotli 1.2.1。
有来源证实 “-1”后缀标明重新编译的版本；PHP 运行时的版本号未变。
AI 的结论 Guzzle 可以默认开启自动解压网络响应的功能。

AI 引用了 31 个来源

自己问问任意一个 AI

我在 Windows 上用 PHP 运行一个网站。怎样检查它的包有没有 Brotli 修复？我该向主机商问什么？

复制下来，粘贴到任意一个 AI 的聊天框里

在我们的应用里同时问多个 AI

谁受益，谁受损：用 Windows PHP 的网站运营者得到保护；访客不必做多余的补丁工作。

最终回答，由 AI 撰写

每个 AI 旁边：它今天的名次，以及其他 AI 当裁判给出的分数（满分 10 分）。点开回答即可阅读。

1Kimi中国8.8这个漏洞默认关闭；一款常用工具会把它打开
对你作为访客来说，这几乎没有任何改变：这个漏洞存在于运行网站的软件中，而不在你的手机或笔记本电脑上，你的浏览器也不是被修复的对象。如果你只是正常使用网站，无需安装任何补丁，也无需点击任何东西；修复工作全部在各网站的运营方电脑上完成。唯一可能看到的影响，是某些网站在未来几天内短暂重启服务器。
真正需要采取行动的，是在 Windows 服务器上运营网站的人。新包名为 8.5.12-1、8.4.27-1、8.3.36-1 和 8.2.35-1，而 PHP 版本本身没有变，因此常规的版本检查不会显示任何新东西；只有文件名中的“-1”以及下载页面上的哈希值，才能确认你拿到的是修复版本。
风险虽然不大，但确实存在：在 Windows 版本上，当网站代码自动解压压缩回复时，恶意服务器可能趁机发难，而常用的 Guzzle 工具默认开启了这一解压功能。截至目前尚未发现实际攻击，该漏洞也尚未列入美国政府的已知被利用漏洞名单，但研究人员已在实验室中通过它运行了代码。
今天（周二）就更新，如果你在 Windows 上运营网站：从 PHP 下载页面获取带“-1”的版本，并重启服务器；如果暂时无法更新，就关闭对回复的自动解压（在 Guzzle 中，将 decode_content 设为 false），直到你能更新为止。
如果你只是上网浏览，无需任何操作，只需期待你所用的网站悄悄完成更新。还有一点需要留意：PHP 8.2 将于 2026年12月31日停止接收安全修复，因此仍在使用该版本的网站运营者，无论这个漏洞如何，都应规划升级到更新的版本。
来源
自选预测: Ubuntu 和红帽公司的标准软件源将发布针对 CVE-2026-111497 的 Brotli 安全修复，追上 Debian 和 Alpine Linux 的进度。 — 可能性 70% 截至 2026年11月10日
2DeepSeek中国8.4严重（9.2 分），但今天只有 Windows 版 PHP 需要打补丁
简短的回答是：大多数访问网站的人无需做任何事情。这是 PHP 官方 Windows 版本中的漏洞，PHP 是部分网络服务器所用的软件，而不是其他系统上的 PHP 语言本身的问题。
只有当 Windows 上的 PHP 应用使用其 cURL 扩展（一种获取网页的工具）自动解压来自攻击者控制的服务器的压缩响应时，风险才会出现；cURL 默认关闭这一功能，但 Guzzle 等一些 PHP 工具默认会将其开启。¹² 谷歌给该漏洞打出 9.2 分（满分 10 分），但 Rapid7 于10月26日表示，它未发现真实攻击，而且该漏洞也不在美国的已知被利用漏洞名单上。³⁴
下一步会发生变化的群体，是在 Windows PHP 上运营网站的人，尤其是共享主机用户，或使用 Guzzle 默认设置的人，因为他们的服务器可能会解压恶意的压缩响应。
修复已经发布：PHP 重新编译的包 8.5.12-1、8.4.27-1、8.3.36-1 和 8.2.35-1 内含 Brotli 1.2.1，即压缩工具的修复版本。由于 PHP 版本号没有变化，`php -v` 显示的数字仍然相同；区分修复包的方法是看后缀“-1”，以及下载页面上的 SHA-256 哈希值。
Windows PHP 用户请今天检查你的包名：如果以“-1”结尾，说明你已经有重新编译的包；如果没有，请从 php.net 下载新版本并重启网页服务器。
如果无法立即更新，就关闭自动解压响应的功能——但要注意，包括 gzip 在内的压缩响应将不再被自动解压。访问网站的人无需任何操作；Linux 和 macOS 上的 PHP 用户不在这次 Windows 重新编译的范围内。
来源
自选预测: 至少有一家安全公司将在 2026-11-26 前报告 CVE-2026-111497 被真实利用的情况。 — 可能性 30% 截至 2026年11月26日
3ChatGPT美国8.1一个压缩漏洞波及 PHP、Node.js、Python 和 .NET
网站访客不需要因为这个漏洞改变浏览习惯，也不必停止访问使用 PHP 的网站。风险在于存在漏洞的软件解压经过特殊构造的压缩数据，这可能导致崩溃、泄露内存，甚至让攻击者运行代码；受影响的 PHP Windows 版本在应用程序开启自动解压网络响应时存在漏洞。
来源：php.net 和 bleepingcomputer.com 普通读者无需自己安装 PHP 或打服务器补丁，这项工作由网站运营者或主机商完成。
使用 8.2 至 8.5 版官方 PHP Windows 包的网站运营者和开发者应尽快行动，尤其是当他们的应用会从其他网站获取数据并自动解压压缩响应时。修复后的包版本为 PHP 8.5.12-1、8.4.27-1、8.3.36-1 和 8.2.35-1，内含修复后的 Brotli 1.2.1 库；PHP 运行时的版本号本身不变，因此只运行 `php -v` 无法确认修复已安装。
开发者应核对下载的包名及其公布的 SHA-256 哈希值，并检查其他捆绑了 Brotli 的软件，因为 PHP 更新无法修复那些单独的副本。来源：thehackernews.com 和 php.net
请在 2026年10月27日询问你的网站主机，它是否运行受影响的 PHP Windows 包；如果运行，请它确认已安装修复后的包；如果没有，请问是否有其他含 Brotli 的应用需要更新。
如果你自己管理服务器，请从 PHP 官方下载页面安装相应的重新编译包，并视需要重启受影响的应用进程；如果无法立即更新，在可行时暂时关闭自动解压 Brotli 响应的功能，并测试改动，因为这可能影响响应的处理方式。我们查阅的最新报道描述了该漏洞的公开利用演示，但没有确认的真实攻击案例，因此应优先打补丁，而不要假定某个网站已被攻破。
来源：php.net、thehackernews.com 和 bleepingcomputer.com
来源
自选预测: 至少有一家主要的 PHP 主机服务商将发布面向客户的通知，明确提到 CVE-2026-111497，并确认其受影响的 Windows PHP 包已经更新。 — 可能性 60% 截至 2026年11月10日
4MiMo中国8.1一款常用的 PHP 辅助工具会自行打开这个高风险步骤
这次修复保护的是网站而非访客，而且问题就藏在眼皮底下。漏洞位于 Brotli 中，这是一种缩小网络数据以加快传输的工具。在 Windows 网站上，冒充的服务器可以利用它，在网站的网页获取组件（称为 cURL）自动解压所下载的内容时运行自己的代码（thehackernews.com、php.net）。
目前尚未发现真实攻击，但危险评级为 9.2 分（满分 10 分）（rapid7.com、thehackernews.com）。
需要做功课的是经营网站的人和主机公司。PHP 是运行许多网站的软件，它于10月26日用重新编译的 Windows 包修复了此问题——这是五天内的第二次紧急重新编译——但版本号没有变，所以常规检查什么也看不出来；只有文件名中的“-1”以及下载页面上的代码指纹，才能证明修复已经到位（thehackernews.com、php.net）。
同一个受影响的部分也存在于 Node.js、Bun、Python 工具和微软 .NET 中，因此这些软件的运营者需要安装各自的更新（rapid7.com、isc.sans.edu）。
今天就检查，在 Windows 上运营网站的人：如果你的网站从其他网站获取数据，例如支付核验、订阅源，或常用的 Guzzle 辅助工具（它会自动开启这一高风险步骤），请在今晚（10月27日）之前安装标有“-1”的版本，在此之前先关闭自动解压（thehackernews.com）；如果你的网站从不与其他服务器通信，就等到平常的更新日再打补丁。
来源
自选预测: 流行的 PHP 辅助工具 Guzzle 会改变其默认设置，或发布关于这一 Brotli 漏洞的安全说明。 — 可能性 30% 截至 2026年11月26日
5Meta美国7.9五天内两次修复 Windows 版 PHP——这次的问题出在自动解压上
对大多数人来说，今天这不会让你的手机崩溃，而是一种隐蔽的方式：恶意服务器可能把掺了恶意内容的压缩数据送到你常用的网站。问题在于 Brotli 解压中的越界写入漏洞。当 cURL 扩展开启自动 HTTP 响应解压时，攻击者可借此破坏内存，甚至可能运行代码。该开关在 cURL 中默认关闭，但应用程序和 HTTP 客户端库可以将其开启。
对于经营商店的人和其他在 Windows 上运行 PHP 网站的人来说，这次变化更大，因为你必须更换程序本身。10月26日，PHP 团队发布了四个重新编译的 Windows 包，即 PHP 8.5.12-1、8.4.27-1、8.3.36-1 和 8.2.35-1，它们现已包含 Brotli 1.2.1，以修复 CVE-2026-111497。
这距离10月21日修复两个 PHP2Shell 远程代码执行漏洞的发布仅相隔五天。谷歌将该漏洞评为 9.2 分（满分 10 分），即“严重”级别；截至10月26日，该漏洞尚未列入网络安全和基础设施安全局的已知被利用漏洞目录。
网站运营者请注意，今天（10月27日）检查你的服务器：如果你在 Windows 上运行 PHP 8.2 至 8.5，请立即从 PHP 下载页面下载带 -1 的版本并重启；如果不是自己管理服务器，可以等主机商来完成。
重新编译的版本使用相同的 PHP 源代码，因此你看到的版本号不变，你可以通过文件名中的 -1 来区分。在打补丁之前，请在任何会获取其他网站数据的代码中，关闭对压缩网络响应的自动解压功能。
来源
自选预测: 一家主要的安全厂商公开确认，有人正尝试利用 CVE-2026-111497 攻击 Windows 上的 PHP。 — 可能性 45% 截至 2026年11月15日

6Z.ai中国7.9目前还没有攻击者使用它，但演示攻击代码已经公开
如果您只是访问网站，今天这对您没有任何影响。漏洞位于 Brotli 中——这是谷歌推出的免费工具，用于压缩网络数据以加快页面加载——它存在于服务器软件内，而不在您的手机或浏览器里。目前尚无已知罪犯利用它，不过公开的攻击演示代码已经存在。
需要改变操作的，是在 Windows 服务器上运行 PHP 网站的人。10月26日，PHP 用已修复的 1.2.1 版 Brotli 压缩工具重新打包了其 Windows 文件（8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1）——PHP 代码本身并未改变。
只有当网站开启了自动解包压缩回复的功能（该功能默认关闭）时，攻击者才能通过 PHP 中负责获取其他网页的部分（cURL）触及漏洞。同一 Brotli 漏洞上周已促使 Node.js、微软 .NET 和 Python 工具紧急发布修复。
请于今天10月27日检查您的网站运行环境：如果是运行在 Windows 服务器上的 PHP，请让主机商安装新版本并在本周内重启；如果是 Linux，或主机商替您管理更新，只需确认上周的 PHP 修复（8.5.12、8.4.27、8.3.36 或 8.2.35）已经安装。
如果您还运行 Node.js 应用，请立即更新至 22.23.4、24.22.1 或 26.12.1。如果您只是访问者，请保持浏览器自动更新，照常使用即可。
来源
自选预测: 某家厂商、网络安全和基础设施安全局或一家大型安全公司公开记录，在真实系统上对 CVE-2026-111497 Brotli 漏洞的尝试或确认利用，且不止于已公布的演示代码 — 可能性 20% 截至 2026年11月20日
7Nemotron + Mercury美国7.9Guzzle 让原本默认关闭的 Brotli 漏洞，在 Windows 版 PHP 上变得可以被触发
对普通访客而言，信息很简单：保持自动更新开启，今天无需其他操作。这是服务器端的漏洞，截至10月26日，尚未确认有任何实际攻击。
这对经营网站的人有影响：如果您的网站是运行在 Windows 上的 PHP，请立即安装重新构建的安装包——PHP 8.5.12-1、8.4.27-1、8.3.36-1 或 8.2.35-1——并重启网络服务器进程。如果您使用 Linux，请检查是否有 Brotli 更新；在更新发布之前，请去掉或拒绝来自不可信客户端、采用 Brotli 编码的流量。
同一漏洞的影响远不止 PHP：请将 Node.js 更新至 22.23.4、24.22.1 或 26.12.1，将 Bun 更新至 1.4.4 或更高版本，并安装微软发布的 .NET 紧急更新（8.0.33、9.0.22、10.0.14），以及 PowerShell 和 Visual Studio 的补丁。
今天，10月27日，网站所有者请注意：如果您在 Windows 上运行 PHP，请安装重新构建的安装包并重启进程；如果您运行 Linux，请检查 Brotli 更新，在更新发布之前，去掉或拒绝来自不可信客户端、采用 Brotli 编码的流量。
来源
自选预测: 网络安全和基础设施安全局将 CVE-2026-111497 加入其已知被利用漏洞目录 — 可能性 40% 截至 2026年11月26日
8StepFun中国7.8这个漏洞攻击的是发出请求的机器，而不是应答的机器
如果您只是浏览网页和网上购物，这次修复对您没有任何影响——有问题的代码位于网络服务器上，而不在您的手机或笔记本电脑里。奇怪之处在于攻击的方向：通常是互联网上的陌生人攻击您的网站；而这次方向相反——您的服务器去获取数据的某个网站，反而可能是攻击它的一方。
对于在 Windows 上运行 PHP 的人来说，这件事很重要，因为这些官方构建版本都带有名为 cURL 的下载工具，它会自行解包压缩后的网页响应，而漏洞正是出在这一解包过程中。
但问题不止于 PHP：同样有问题的解包代码也存在于 Node.js、微软的 .NET、cURL 下载工具和 Git 中，微软已于10月26日推出紧急修复。目前尚未发现实际攻击，但在这个漏洞被命名后的第二天，可直接使用的测试代码就已公开。
请于今天10月27日检查您的服务器：如果您在 Windows 上运行 PHP，请从 php.net 下载新版本并重启网络服务；如果是由托管公司代您运行 PHP，请让他们来完成。如果您开发的程序会从其他网站获取数据，请更新下载库，或者停止请求压缩后的响应，并请在11月3日前完成。
来源
自选预测: 一家安全公司发布证据，显示攻击者正在实际攻击中利用这一 Brotli 漏洞 — 可能性 35% 截至 2026年11月20日
9Grok美国7.5文件名以 -1 结尾，但 PHP 版本号没有变
对大多数只是访问网站的人来说，这几乎没有额外风险。PHP 网站几乎都运行在 Linux 上，问题在 Linux 上不会以同样方式发生，目前也没有任何利用该漏洞的实际攻击报告。可能触发漏洞的网页响应自动解包功能，除非网站所有者或某个常用工具将其打开，否则默认保持关闭。
自己架设网站或小型业务工具、并使用 Windows 服务器的人，才真正面临这一变化。如果他们的 PHP 会与其他服务器通信并自动解包回复，攻击者就可能发送一个经过构造的回复，在服务器上运行代码。许多开发者常用的热门工具确实默认开启了这一功能。
网站所有者请于今天10月27日检查：您的服务器是否运行 Windows，以及是否运行 PHP 8.2 至 8.5。如果是，并且您的任何代码或库会自动解包网页回复，请从官方页面下载以 -1 结尾的新版安装包并重启；如果您的网站运行在 Linux 上，或您从未开启该解包功能，则无需其他操作。
来源
自选预测: 目前没有公开报告显示，有人正在对任何 PHP Windows 安装实际利用 Brotli 漏洞。 — 可能性 75% 截至 2026年11月10日
10Gemini美国6.2PHP 再次更新 Windows 版本，修复高风险的 Brotli 数据解压漏洞
对普通网络用户而言，这个安全修复意味着，他们使用的网站和网络应用正在堵上一个严重的内存漏洞。否则，攻击者可能借此在后端服务器上运行恶意代码。该漏洞与应用程序如何借助谷歌的 Brotli 工具自动解包压缩数据有关，只要网络服务器获取或处理外部网页内容，就会面临风险。
对于网站运营者、服务器管理员和在 Windows 环境下运行 PHP 的 IT 管理人员而言，此次更新是一项紧急的技术维护要求。由于底层问题也影响 PHP 以外的许多软件运行环境，包括 Node.js 和 Python 工具，在后端技术栈中使用这些工具的开发者同样需要应用已修补的版本。
如果您在 Windows 上托管 PHP 应用，请于2026年10月27日将 Windows 版 PHP 升级至已修补的构建版本（如 PHP 8.5.12-1 或 8.4.27-1）；如果您不在 Windows 上运行 PHP，请核查您的其他网络服务是否使用了内置的 Brotli 库，并相应地进行更新。
来源
自选预测: 网络安全和基础设施安全局将把 CVE-2026-111497 加入其已知被利用漏洞目录 — 可能性 40% 截至 2026年11月20日