PHP团队发布了新的Windows构建包，修复一个名为HTTP2Shell的严重漏洞。新包分别是PHP 8.5.12-1、8.4.27-1、8.3.36-1和8.2.35-1，PHP在2026年10月26日公布了这批版本。 每个构建包现在都包含Brotli 1.2.1，修复的是CVE-2026-111497。运行PHP的Windows用户需要尽快安装这些包。 漏洞位于谷歌的Brotli库中，这是一个被大量程序用来解压数据的压缩工具。问题属于越界写入，也就是代码把数据写到了原本不该触碰的内存区域之外。Node.js在10月21日的安全发布中披露了这个缺陷，研究人员最初称它为Node2Shell。 随着越来越多软件被确认受影响，名称改成了HTTP2Shell。谷歌给这个问题打出的CVSS v4.0评分是 9.2 （满分10）。根据具体配置不同，它可以让程序崩溃、泄露内存内容，或者在无需登录的情况下远程执行代码。 PHP自己的安全公告解释了漏洞在Windows上如何触达PHP：当自动HTTP响应解压开启时，存在缺陷的解码器可以通过cURL扩展被访问到。按照libcurl文档的说法，这个设置在cURL中默认关闭，但应用程序和HTTP客户端库可以把它打开。 因此，当PHP环境解码来自不可信来源的Brotli数据时，风险最高。新版本号里的“-1”后缀标记的是一次更新了依赖项的Windows重新构建，PHP运行时版本本身没有变化。 管理员还应检查PHP在10月21日发布的另一份安全更新。那次更新修复了另外两个严重缺陷CVE-2026-109618和CVE-2026-109619，它们同样允许无需登录的远程代码执行。PHP 8.2将于2026年12月31日停止支持，仍在该分支上的团队需要规划升级到受支持的版本。 这个漏洞并不限于PHP。研究人员已在Node.js、Python包、.NET、FFmpeg、ClickHouse和Apache Arrow中发现它。微软和两个Python包的维护者也已发布补丁。 由于太多产品复用了Brotli，仅看版本号可能无法反映全貌。部分厂商会把修复回移到旧版本中，因此一个构建包即使版本号看起来较旧，也可能是安全的。 安全团队可以先确认每台Windows PHP主机都运行了新的“-1”包，同时检查任何捆绑的Brotli库，已修复的上游版本是 1.0.10、1.1.1和1.2.1 。 暂时无法打补丁的团队，应让不可信的Brotli输入远离生产系统。PHP官方安全公告页面和GitHub上的Brotli 1.2.1发布说明列出了细节，PHP Windows下载页面提供更新后的包。 特别