Ngày 26/10/2026, nhóm phát triển ngôn ngữ lập trình PHP thông báo phát hành bốn gói Windows mới, gồm PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 và 8.2.35-1. Các gói này tích hợp thư viện Brotli phiên bản 1.2.1 nhằm khắc phục lỗ hổng bảo mật CVE-2026-111497 liên quan đến quá trình giải nén dữ liệu.
Theo thông báo trên trang chủ PHP, lỗ hổng thuộc loại ghi dữ liệu ngoài vùng nhớ được cấp phát (out-of-bounds write). Đây là dạng lỗi có thể làm hỏng dữ liệu trong bộ nhớ, khiến chương trình hoạt động bất thường và tiềm ẩn nguy cơ thực thi mã độc nếu bị khai thác thành công.
Brotli là công nghệ nén dữ liệu được sử dụng trong nhiều ứng dụng và dịch vụ web nhằm giảm dung lượng truyền tải, cải thiện tốc độ trao đổi dữ liệu qua Internet. Tuy nhiên, một lỗi trong bộ giải mã có thể tạo ra rủi ro bảo mật khi chương trình xử lý dữ liệu nén không an toàn.
 |
| PHP phát hành lại bốn gói phần mềm dành cho Windows nhằm khắc phục lỗ hổng bảo mật trong thư viện Brotli. Ảnh: Wikimedia Commons/PHP. |
Nhóm phát triển PHP cho biết, trên Windows, bộ giải mã Brotli bị ảnh hưởng có thể được gọi thông qua phần mở rộng cURL khi ứng dụng kích hoạt tính năng tự động giải nén phản hồi HTTP.
Mặc dù cURL mặc định không bật chức năng này, các ứng dụng hoặc thư viện HTTP vẫn có thể chủ động kích hoạt. Vì vậy, mức độ ảnh hưởng phụ thuộc vào cấu hình và cách sử dụng cURL của từng hệ thống, không đồng nghĩa mọi máy chủ PHP đều tồn tại đường khai thác.
Điểm đáng chú ý của đợt cập nhật là hậu tố "-1" trong tên gói phát hành. Theo PHP, ký hiệu này cho biết gói Windows được biên dịch lại với các thành phần phụ thuộc đã cập nhật, thay vì phát hành một phiên bản mã nguồn PHP mới.
Do đó, sau khi cài đặt bản vá, số phiên bản PHP hiển thị khi chạy vẫn giữ nguyên. Chẳng hạn, gói PHP 8.5.12-1 tiếp tục được nhận diện ở phiên bản chạy là PHP 8.5.12.
Điều này đặt ra vấn đề đối với hoạt động kiểm tra an toàn hệ thống. Việc chỉ sử dụng lệnh php -v hoặc xem thông tin phiên bản PHP chưa đủ để xác nhận máy chủ đã cài đặt gói Windows chứa thư viện Brotli được vá lỗi.
Để kiểm tra chính xác, quản trị viên cần đối chiếu nguồn gốc và tên gói cài đặt, xác minh phiên bản các thư viện đi kèm, đồng thời kiểm tra cấu hình cURL trong ứng dụng. Với hệ thống sử dụng nhiều môi trường PHP, việc rà soát cần được thực hiện trên từng môi trường đang vận hành.
Trước đó, ngày 21/10/2026, PHP cũng công bố các bản cập nhật bảo mật nhằm khắc phục hai lỗ hổng nghiêm trọng khác mang mã CVE-2026-109618 và CVE-2026-109619. Đợt phát hành ngày 26/10 tiếp tục bổ sung bản sửa lỗi Brotli vào các gói Windows tương ứng.
Nhóm phát triển PHP khuyến nghị người dùng Windows cập nhật các gói mới từ trang tải xuống chính thức. Động thái này cho thấy việc quản lý an toàn phần mềm không chỉ dừng ở phiên bản ứng dụng chính mà còn cần kiểm soát những thư viện phụ thuộc được tích hợp trong hệ thống.
