El equipo de PHP ha lanzado actualizaciones para Windows para corregir una vulnerabilidad grave denominada HTTP2Shell (CVE-2026-111497). Las nuevas versiones afectadas son la 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, las cuales incluyen la actualización de Brotli 1.2.1. Se recomienda a todos los usuarios de PHP en Windows instalar estos paquetes de inmediato.

El equipo de PHP ha lanzado compilaciones actualizadas para Windows para solucionar un fallo grave conocido como HTTP2Shell. Los nuevos paquetes son PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1, y PHP los anunció el 26 de octubre de 2026.

Cada compilación incluye ahora Brotli 1.2.1, que soluciona la vulnerabilidad CVE-2026-111497. Si eres un usuario de Windows que ejecuta PHP, deberías instalar estos paquetes sin demora.

El fallo reside en la librería Brotli de Google, una herramienta de compresión que muchos programas utilizan para descomprimir datos. Se trata de una escritura fuera de límites (out-of-bounds write), lo que significa que el código escribe datos más allá del área de memoria que debía utilizar. Node.js reveló el error en su lanzamiento de seguridad el 21 de octubre, y los investigadores lo llamaron inicialmente Node2Shell.

Vulnerabilidad PHP HTTP2Shell

A medida que se descubrió que más software estaba afectado, el nombre cambió a HTTP2Shell. Google califica el problema con una puntuación CVSS v4.0 de 9.2 sobre 10. Dependiendo de la configuración, puede provocar la caída de un programa, exponer el contenido de la memoria o permitir que se ejecute código remotamente sin necesidad de iniciar sesión.

El propio aviso de PHP explica cómo el fallo llega a PHP en Windows. El decodificador vulnerable puede alcanzarse a través de la extensión cURL cuando la descompresión automática de respuestas HTTP está activada. Según la documentación de libcurl, este ajuste está desactivado por defecto en cURL. Sin embargo, algunas aplicaciones y librerías de clientes HTTP pueden habilitarlo.

Por lo tanto, una instalación de PHP corre el mayor riesgo cuando decodifica datos Brotli de fuentes en las que no confías. El sufijo “-1” en los nuevos números de versión marca una reconstrucción de Windows con dependencias actualizadas, y las versiones del tiempo de ejecución (runtime) de PHP en sí no cambian.

También deberías comprobar si hay un lanzamiento de seguridad independiente que PHP publicó el 21 de octubre. Ese lanzamiento solucionó otros dos fallos críticos, CVE-2026-109618 y CVE-2026-109619, que pueden permitir la ejecución remota de código sin iniciar sesión. PHP 8.2 llegará al final de su vida útil el 31 de diciembre de 2026, por lo que si tu equipo sigue en esa rama, deberías planificar una actualización a una versión compatible.

El error no se limita a PHP. Los investigadores lo han encontrado en Node.js, paquetes de Python, .NET, FFmpeg, ClickHouse y Apache Arrow. Microsoft y los mantenedores de dos paquetes de Python también han distribuido parches.

Debido a que tantos productos reutilizan Brotli, un número de versión por sí solo puede no mostrar el panorama completo. Algunos proveedores adaptan el parche a versiones anteriores, por lo que una compilación puede ser segura incluso si su número de versión parece antiguo.

Si formas parte de un equipo de seguridad, deberías empezar confirmando que cada host de PHP en Windows ejecute uno de los nuevos paquetes -1. También deberías revisar cualquier librería Brotli incluida, ya que las versiones corregidas originales son 1.0.10, 1.1.1 y 1.2.1.

Los equipos que no puedan aplicar el parche de inmediato deben mantener las entradas de Brotli no confiables alejadas de los sistemas de producción. La página oficial de avisos de seguridad de PHP y las notas de lanzamiento de Brotli 1.2.1 en GitHub enumeran los detalles, y la página de descargas de PHP para Windows aloja los paquetes actualizados.

Para una visión más amplia del problema, lee nuestro informe anterior sobre cómo HTTP2Shell llega más allá del tráfico web a otros softwares. Nuestra cobertura de las actualizaciones de seguridad de Node.js también explica qué líneas de lanzamiento recibieron correcciones.