Wir haben diese Behauptung geprüft: Stimmt es, dass
PHP ein zweites Paket an Windows-Sicherheitsversionen herausgegeben hat, um eine kritische Schwachstelle bei der Brotli-Dekomprimierung zu schließen?
PHP hat die Windows-Builds 8.5.12-1, 8.4.27-1, 8.3.36-1 und 8.2.35-1 mit der integrierten Brotli-Version 1.2.1 veröffentlicht
PHP schließt nach vorgelagertem Fehler neue Sicherheitslücke unter Windows
Die Entwickler veröffentlichten am 26. Oktober vier Ersatzpakete, nachdem ein mitgeliefertes Komprimierungswerkzeug Server für Speicherfehler anfällig gemacht hatte.
Das Wesentliche
Fünf Tage nach der Behebung kritischer Fernzugriffslücken im eigenen Kern hat PHP nachgelegte Binärpakete für Windows herausgegeben, um einen schweren Speicherfehler im mitgelieferten Komprimierungswerkzeug Brotli von Google zu schließen. Da der PHP-Quellcode selbst unverändert blieb, tragen die Pakete lediglich den Revisionszusatz „-1“. Herkömmliche Versionsabfragen schlagen daher nicht an, sodass Serverbetreiber die Dateien von Hand austauschen und die Dienste neu starten müssen.
Die Kernpunkte
- PHP hat am 26. Oktober 2026 vier überarbeitete Windows-Pakete – 8.2.35-1, 8.3.36-1, 8.4.27-1 und 8.5.12-1 – mit integriertem Brotli 1.2.1 veröffentlicht.
- Die unter CVE-2026-111497 geführte Brotli-Schwachstelle führt bei der Datenentpackung zu unzulässigen Schreibzugriffen im Speicher.
- Die zusätzlichen Windows-Versionen folgten fünf Tage nach der Behebung zweier unabhängiger, kritischer Sicherheitslücken im PHP-Kern am 21. Oktober 2026.
- Der Standardbefehl „php -v“ zeigt das Suffix „-1“ nicht an, weshalb Administratoren Zeitstempel oder Archivinhalte direkt kontrollieren müssen.
Aus dem Tagebuch des Redakteurs
Ein bereinigter Anwendungskern bietet keinen Schutz, wenn gebündelte Hilfswerkzeuge fremde Sicherheitslücken einschleppen. Bleibt die Fehlerbehebung in der Versionsnummer unsichtbar, ist die manuelle Kontrolle die einzige Sicherung gegen unbemerkte Angriffsflächen.
Wer beteiligt ist
PHP-Entwicklerteam
Open-Source-Softwareingenieure, die die PHP-Webplattform pflegen
will → Den Quellcode absichern und den Anwendern fehlerbereinigte, vorkompilierte Programmdateien bereitstellen
Betreuer von Google Brotli
Softwareingenieure, die Googles quelloffenes Datenkomprimierungswerkzeug entwickeln
will → Fehler bei der Speicherverwaltung in Dekomprimierungsroutinen beseitigen
Windows-Systemadministratoren
IT-Verantwortliche, die PHP-gestützte Webauftritte auf Windows-Servern betreiben
will → Unbefugte Systemzugriffe verhindern, indem sie veraltete Programmdateien ersetzen und Webdienste neu starten
Kurz gefasst
Auf Windows-Servern betriebene PHP-Installationen sind von Speicherfehlern bedroht, wenn Administratoren die Programmdateien nicht manuell austauschen. Eine verdeckte Schwachstelle in einer mitgelieferten Datenkomponente riss das Sicherheitsrisiko nur fünf Tage nach einem vorangegangenen Patch erneut auf.
Systembetreuer von Windows-Systemen müssen nun die überarbeiteten Softwarepakete herunterladen und ihre Webdienste neu starten, um die verwundbaren Bestandteile zu ersetzen.
Dieser manuelle Eingriff ist nahezu unausweichlich: Da der eigentliche Kerncode von PHP unverändert blieb, schlagen standardmäßige automatisierte Versionsprüfungen nicht an und erkennen die Fehlerbehebung nicht eigenständig.
Wie es sich entwickelte
Sicherheitsupdates decken Folgeschwachstelle in Web-Laufzeitumgebungen auf
Am 21. Oktober 2026 veröffentlichte das PHP-Entwicklerteam Notfall-Patches für zwei kritische Schwachstellen namens PHP2Shell, die eine vollständige Systemübernahme ermöglichten und unter CVE-2026-109618 sowie CVE-2026-109619 geführt werden. Am selben Tag machten nachgelagerte Softwareprojekte wie Node.js einen separaten Speicherfehler in Googles Komprimierungsbibliothek Brotli öffentlich, erfasst als CVE-2026-111497. Der Dekomprimierungsfehler breitete sich rasch über mehrere Programmierumgebungen aus, die auf vorgefertigte Brotli-Komponenten zurückgreifen.
Komprimierungsfehler erreicht Windows-Pakete für Webserver
Während IT-Sicherheitsforscher die Schwachstelle CVE-2026-111497 in Umgebungen wie Python, .NET und cURL nachverfolgten, stellten die Betreuer fest, dass auch die offiziellen Windows-Pakete von PHP den fehlerhaften Brotli-Code enthielten – eingeschleust über die gebündelte Erweiterung für cURL. Server, die Webinhalte automatisiert dekomprimieren, blieben dadurch anfällig für Speicherbeschädigungen.
Wo die Dinge stehen
Der Sachverhalt ist bestätigt. Die offiziellen Windows-Pakete 8.2.35-1, 8.3.36-1, 8.4.27-1 und 8.5.12-1 stehen auf windows.php.net sowie discourse.thephp.foundation zum Download bereit.
Windows-Systemadministratoren müssen die aktualisierten Dateien manuell einspielen und sämtliche aktiven Webdienste neu starten. Da die standardmäßige Befehlsabfrage über „php -v“ weiterhin nur die Basisversionsnummer ohne den Revisionszusatz ausgibt, lässt sich der erfolgreiche Vollzug des Sicherheitsupdates derzeit ausschließlich über Datei-Zeitstempel oder den direkten Abgleich der Archivinhalte überprüfen.