以下内容由米乐M6整理：
PHP团队发布了新的Windows构建包，修复一个名为HTTP2Shell的严重漏洞。
新包分别是PHP 8.
5.
12-1、8.
4.
27-1、8.
3.
36-1和8.
2.
35-1，PHP在2026年10月26日公布了这批版本。
每个构建包现在都包含Brotli 1.
2.
1，修复的是CVE-2026-111497。
运行PHP的Windows用户需要尽快安装这些包。
漏洞位于谷歌的Brotli库中，这是一个被大量程序用来解压数据的压缩工具。
问题属于越界写入，也就是代码把数据写到了原本不该触碰的内存区域之外。
Node.
js在10月21日的安全发布中披露了这个缺陷，研究人员最初称它为Node2Shell。
随着越来越多软件被确认受影响，名称改成了HTTP2Shell。
谷歌给这个问题打出的CVSS v4.
0评分是 9.
2 （满分10）。
根据具体配置不同，它可以让程序崩溃、泄露内存内容，或者在无需登录的情况下远程执行代码。
PHP自己的安全公告解释了漏洞在Windows上如何触达PHP：当自动HTTP响应解压开启时，存在缺陷的解码器可以通过cURL扩展被访问到。
按照libcurl文档的说法，这个设置在cURL中默认关闭，但应用程序和HTTP客户端库可以把它打开。
因此，当PHP环境解码来自不可信来源的Brotli数据时，风险最高。
新版本号里的“-1”后缀标记的是一次更新了依赖项的Windows重新构建，PHP运行时版本本身没有变化。
管理员还应检查PHP在10月21日发布的另一份安全更新。
那次更新修复了另外两个严重缺陷CVE-2026-109618和CVE-2026-109619，它们同样允许无需登录的远程代码执行。
PHP 8.
2将于2026年12月31日停止支持，仍在该分支上的团队需要规划升级到受支持的版本。
这个漏洞并不限于PHP。
研究人员已在Node.
js、Python包、.
NET、FFmpeg、ClickHouse和Apache Arrow中发现它。
微软和两个Python包的维护者也已发布补丁。
由于太多产品复用了Brotli，仅看版本号可能无法反映全貌。
部分厂商会把修复回移到旧版本中，因此一个构建包即使版本号看起来较旧，也可能是安全的。
安全团队可以先确认每台Windows PHP主机都运行了新的“-1”包，同时检查任何捆绑的Brotli库，已修复的上游版本是 1.
0.
10、1.
1.
1和1.
2.
1 。
暂时无法打补丁的团队，应让不可信的Brotli输入远离生产系统。
PHP官方安全公告页面和GitHub上的Brotli 1.
2.
1发布说明列出了细节，PHP Windows下载页面提供更新后的包。
特别
米乐M6将持续关注后续动态。
