Installieren Sie umgehend die neuesten PHP-Builds für Windows (erkennbar am "-1" im Dateinamen) von der offiziellen PHP-Downloadseite.
EPSS 36.0 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+5
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
PHP Issues Second Windows Security Update in Five Days to Fix Brotli Code Execution Flaw
PHP hat ein kritisches Sicherheitsupdate für seine Windows-Pakete (PHP 8.2 bis 8.5) veröffentlicht, um eine Schwachstelle in der Brotli-Kompressionsbibliothek (CVE-2026-111497) zu beheben. Diese Lücke könnte Angreifern die Ausführung von Code ermöglichen, insbesondere wenn die cURL-Erweiterung für die automatische Dekompression von HTTP-Antworten verwendet wird. Windows-Nutzer sollten die neuen Builds (erkennbar am "-1" im Dateinamen) von der PHP-Downloadseite installieren, um sich zu schützen.
SecBoard-Einordnung
Die Schwachstelle ermöglicht Angreifern die Ausführung von beliebigem Code auf betroffenen Systemen. Dies kann zu vollständiger Systemkompromittierung, Datenexfiltration oder der Installation weiterer Malware führen, was erhebliche Betriebsunterbrechungen und Reputationsschäden zur Folge haben kann.
Realistisch schlimmster Fall: Im schlimmsten Fall könnten Angreifer die Kontrolle über den Server übernehmen, sensible Daten stehlen, die Anwendung manipulieren oder als Ausgangspunkt für weitere Angriffe auf andere Systeme im Netzwerk nutzen.
Empfehlung: Installieren Sie umgehend die neuesten PHP-Builds für Windows (erkennbar am "-1" im Dateinamen) von der offiziellen PHP-Downloadseite. Als temporäre Maßnahme kann die automatische Brotli-Dekompression deaktiviert werden.
Im erfassten Bestand
- ▸CVE-2026-111497 kommt damit in 12 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- unbekannt
- EPSS
- 36.0%
- Über das Netz
- unbekannt
- Anmeldung nötig
- unbekannt
- Nutzerinteraktion nötig
- unbekannt
- Angriffskomplexität
- unbekannt
- Beeinträchtigt
- unbekannt
- Patch
- unbekannt
- Zuweisende CNA
- cve-coordination@google.com
Betroffen
Windows-Nutzer, die PHP-Anwendungen mit den Versionen 8.2 bis 8.5 betreiben und die cURL-Erweiterung mit aktivierter automatischer HTTP-Antwort-Dekompression verwenden, sind betroffen. Dies gilt insbesondere für Anwendungen, die Bibliotheken wie Guzzle nutzen, welche diese Funktion standardmäßig aktivieren.
Prüfen
3- ▸Überprüfen Sie, ob Ihre PHP-Installationen auf Windows die Versionen 8.2 bis 8.5 verwenden.
- ▸Stellen Sie fest, ob die cURL-Erweiterung mit aktivierter automatischer HTTP-Antwort-Dekompression genutzt wird (z.B. durch Bibliotheken wie Guzzle).
▸ 1 weitere▾ weniger
- ▸Verifizieren Sie, dass die neuesten PHP-Builds mit dem "-1" Suffix installiert sind oder die automatische Brotli-Dekompression deaktiviert wurde.
Offene Punkte
2▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Versionen von Guzzle oder anderen Bibliotheken betroffen sind, außer dass sie die automatische Dekompression standardmäßig aktivieren.
- ▸Der genaue Angriffsvektor oder die Komplexität der Ausnutzung der Schwachstelle sind im Artikel nicht detailliert beschrieben.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(1)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Diese Lücke könnte Angreifern die Ausführung von Code ermöglichen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile