PHP Windows อัปเดต Brotli แก้ CVE-2026-111497

พอดีไล่ฟีด PHP เจอประกาศวันที่ 26 ตุลาคม 2026 เรื่องการออกแพ็กเกจ Windows ชุดใหม่เพื่อแก้ช่องโหว่ใน Brotli รอบนี้มีรายละเอียดที่ผู้ดูแลระบบควรดูให้ครบ เพราะชื่อรุ่น PHP ที่แอปพลิเคชันรายงานยังเหมือนเดิม แต่แพ็กเกจติดตั้งเปลี่ยนแล้ว คนที่อัปเดต PHP ไปก่อนหน้านั้นควรตรวจซ้ำว่าไฟล์ที่นำมาใช้เป็นชุดที่มีท้าย -1 หรือยัง

เกิดอะไรขึ้น

ช่องโหว่หมายเลข CVE-2026-111497 อยู่ในขั้นตอนคลายข้อมูลของ Brotli เป็นปัญหาแบบ out-of-bounds write หรือการเขียนข้อมูลออกนอกขอบเขตหน่วยความจำที่ควรใช้ ตัวที่มีปัญหาเป็นไลบรารีประกอบใน PHP Windows builds การแก้รอบนี้เลยเป็นการเปลี่ยน dependency ที่บรรจุมากับแพ็กเกจ โดยชุดใหม่รวม Brotli 1.2.1 ไว้แล้ว

ประกาศ PHP ระบุว่า cURL extension เรียกตัวคลายข้อมูลที่มีช่องโหว่นี้ได้ เมื่อเปิด automatic HTTP response decompression ผู้ดูแลต้องตรวจฝั่งที่ PHP เรียก HTTP แล้วรับข้อมูลตอบกลับด้วย

ค่าเริ่มต้นของ cURL ปิดความสามารถนี้อยู่ แต่โค้ดแอปหรือไลบรารี HTTP client เปิดให้ได้

บันทึกการออกรุ่น Brotli 1.2.1 ที่ PHP ลิงก์ไว้ ระบุว่าปัญหานี้เปิดทางให้รันโค้ดจากระยะไกลได้ ส่วนประกาศ PHP ไม่ได้ให้ระดับความรุนแรงหรือคะแนน CVSS

ข้อมูลเพิ่มเติมหลังประกาศ: CISA KEV ฉบับ 4 พฤศจิกายน 2026 ระบุ CVE นี้แล้ว โดยเพิ่มเมื่อ 27 ตุลาคม 2026 จากหลักฐานการโจมตีจริง กำหนดแก้ของ CISA คือ 10 พฤศจิกายน 2026

ใครโดนและรุ่นที่แก้

กลุ่มที่ต้องตรวจคือผู้ใช้ PHP Windows builds ที่มีตัวคลายข้อมูล Brotli รุ่นมีช่องโหว่ โดยเฉพาะแอปพลิเคชันที่เปิด automatic HTTP response decompression ผ่าน cURL ประกาศให้แพ็กเกจที่แก้แยกตามสายรุ่นดังนี้

ท้ายชื่อ -1 หมายถึงการสร้างแพ็กเกจ Windows ใหม่พร้อม dependency ที่อัปเดตแล้ว ชุดเหล่านี้ยังใช้ซอร์ส PHP รุ่นเดียวกับรุ่นที่ไม่มีท้าย -1 และเลข runtime PHP ไม่เปลี่ยน ตัวอย่างเช่น การเห็นเลข 8.5.12 อย่างเดียวเลยยังบอกไม่ได้ว่าเปลี่ยนมาใช้แพ็กเกจ 8.5.12-1 แล้วหรือยัง ต้องตรวจหลักฐานของแพ็กเกจที่ดาวน์โหลดและนำไปติดตั้งประกอบด้วย

ประกาศไม่ได้แจกแจงช่วงรุ่น Brotli ที่ได้รับผลกระทบทั้งหมด และไม่ได้ระบุช่วงรุ่น PHP เก่าทั้งหมดที่มีปัญหา ตารางนี้เลยแสดงเฉพาะแพ็กเกจแก้ไขที่ PHP ประกาศไว้ ไม่ควรใช้เป็นข้อสรุปว่ารุ่นอื่นปลอดภัย

ต้องทำอะไร

เริ่มจากตรวจว่าแอปพลิเคชันหรือ HTTP client ที่ใช้เรียกบริการภายนอกเปิดคลายข้อมูล response อัตโนมัติผ่าน cURL หรือไม่ อย่าอาศัยแค่ค่าเริ่มต้นของ cURL เพราะการตั้งค่าจริงอาจมาจากไลบรารีที่แอปพลิเคชันเรียกใช้อีกชั้นหนึ่ง

ดาวน์โหลดแพ็กเกจ Windows ที่ตรงกับสายรุ่นจาก หน้าดาวน์โหลด PHP และเลือกสถาปัตยกรรมกับชนิด Thread Safe หรือ Non Thread Safe ให้ตรงกับรูปแบบติดตั้งเดิม ก่อนเปลี่ยนควรสำรองไฟล์และการตั้งค่า จากนั้นหยุดบริการที่โหลด PHP เปลี่ยนแพ็กเกจ และเริ่มบริการใหม่เพื่อให้โหลดไลบรารีชุดที่แก้แล้ว

หลังเปลี่ยนให้ตรวจว่าเว็บและงานเบื้องหลังกลับมาทำงานได้ พร้อมทดสอบเส้นทางเรียก HTTP ที่ใช้งานจริง เก็บชื่อแพ็กเกจที่ติดตั้งไว้เป็นหลักฐานการแพตช์ด้วย เพราะเลข runtime เพียงอย่างเดียวแยกแพ็กเกจรอบนี้ไม่ได้ ส่วนประกาศไม่ได้ให้ workaround สำหรับเรื่องนี้ ทางแก้ที่ระบุคือใช้ Windows builds ชุดอัปเดต

ส่วนตัวผมให้เร่งแพตช์ระบบ Windows ที่เปิดคลายข้อมูลผ่าน cURL และตรวจแพ็กเกจให้ครบก่อนปิดงาน ที่มา: Updated PHP Windows builds for Brotli security fix ถ้ามีรายละเอียดทางเทคนิคจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ