En pocas palabras
- Los cuatro paquetes para Windows llevan el sufijo -1.
- La versión interna de PHP no cambia con esta reconstrucción.
Qué se publicó hoy
El proyecto PHP publicó el 26 de octubre de 2026 paquetes reconstruidos para Windows: 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1. Incorporan Brotli 1.2.1 para corregir CVE-2026-111497, un problema de escritura fuera de límites al descomprimir datos.
El sufijo -1 identifica la reconstrucción del paquete. La versión que informa el propio intérprete no cambia. Es como sustituir una pieza de un equipo sin cambiar el nombre del modelo: hay que revisar qué paquete se instaló, no únicamente su etiqueta principal.
El alcance importa
El aviso describe una posible vía a través de la extensión cURL cuando se habilita la descompresión automática de respuestas HTTP. Esa opción está desactivada por defecto en cURL, aunque una aplicación o biblioteca puede activarla.
Esto no equivale a afirmar que todos los sitios hechos con PHP fueron atacados. Tampoco permite deducir el estado de una web solo porque utiliza PHP, Windows o un proveedor determinado. Hace falta conocer la instalación y su uso real.
Qué pedir al responsable del servicio
Si administras una instalación afectada, consulta los paquetes oficiales y comprueba la reconstrucción correspondiente a tu rama, arquitectura y modalidad. En un servicio contratado, pide al proveedor confirmación del paquete desplegado y de si esa dependencia forma parte del entorno.
Antes de actualizar producción, conserva un respaldo y valida el cambio en el procedimiento habitual de mantenimiento. Para quien solo visita páginas, la tarea no consiste en descargar PHP: corresponde a quienes mantienen los servidores y aplicaciones. Esta nota explica el aviso; no certifica la seguridad de ningún sitio concreto.
Fuentes y contexto
Referencias consultadas para esta explicación. Los enlaces permiten revisar la información original.
Consulta las fuentes enlazadas para ampliar esta información. Correcciones y contacto →
