𝐏𝐇𝐏 𝐥𝐚𝐧𝐳𝐚 𝐩𝐚𝐫𝐜𝐡𝐞𝐬 𝐝𝐞 𝐬𝐞𝐠𝐮𝐫𝐢𝐝𝐚𝐝 𝐩𝐚𝐫𝐚 𝐖𝐢𝐧𝐝𝐨𝐰𝐬 𝐩𝐨𝐫 𝐥𝐚 𝐯𝐮𝐥𝐧𝐞𝐫𝐚𝐛𝐢𝐥𝐢𝐝𝐚𝐝 𝐜𝐫𝐢́𝐭𝐢𝐜𝐚 𝐇𝐓𝐓𝐏𝟐𝐒

El equipo de PHP ha publicado nuevas compilaciones para sistemas Windows con el fin de corregir una falla de seguridad grave identificada como HTTP2Shell. Las versiones actualizadas corresponden a los paquetes PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, anunciadas el 26 de octubre de 2026.

Estas versiones integran la librería Brotli 1.2.1, solucionando el fallo registrado como CVE-2026-111497. Se recomienda a los administradores que ejecuten PHP sobre Windows aplicar estas actualizaciones a la brevedad.

𝐎𝐫𝐢𝐠𝐞𝐧 𝐲 𝐚𝐥𝐜𝐚𝐧𝐜𝐞 𝐝𝐞𝐥 𝐟𝐚𝐥𝐥𝐨

El problema radica en la biblioteca de compresión Brotli, desarrollada originalmente por Google y utilizada por múltiples plataformas. La falla consiste en una escritura fuera de límites (out-of-bounds write), donde el código sobrepasa el área de memoria asignada. Aunque Node.js reveló inicialmente la vulnerabilidad bajo el nombre Node2Shell, el impacto en más herramientas llevó a renombrarla como HTTP2Shell.

Google ha calificado esta vulnerabilidad con una puntuación CVSS v4.0 de 9.2 sobre 10. Según el entorno y la configuración, un atacante podría provocar la caída del sistema, filtrar datos de la memoria o ejecutar código de manera remota sin requerir autenticación.
Vector de ataque en PHP.

En el entorno de PHP para Windows, el vector de entrada se activa mediante la extensión cURL cuando la descompresión automática de respuestas HTTP está habilitada. A pesar de que esta opción viene desactivada por defecto en libcurl, varias aplicaciones e integraciones de clientes HTTP la activan explícitamente.

Por ello, el riesgo mayor se presenta cuando la aplicación procesa información comprimida con Brotli proveniente de fuentes no confiables. El sufijo «-1» en los nuevos paquetes indica que se rehizo la compilación para Windows con dependencias actualizadas, por lo que el núcleo de ejecución de PHP permanece en la misma versión.