El equipo de PHP anunció el 26 de octubre de 2026 nuevos paquetes para Windows que incorporan Brotli 1.2.1, una corrección de seguridad para la biblioteca de descompresión. La actualización merece una comprobación del responsable técnico si tu negocio utiliza PHP sobre Windows.
Qué publicó PHP y a qué instalaciones afecta
Los paquetes son 8.5.12-1, 8.4.27-1, 8.3.36-1 y 8.2.35-1. El sufijo -1 identifica una recompilación con dependencias actualizadas; la versión del runtime PHP se mantiene. Por eso, comprobar únicamente el número que devuelve PHP puede resultar insuficiente para identificar el paquete instalado.
El aviso relaciona el problema con CVE-2026-111497. En estos paquetes Windows, la vía descrita pasa por cURL cuando se activa la descompresión automática de respuestas HTTP, una opción desactivada por defecto que las aplicaciones pueden habilitar. La publicación de Brotli 1.2.1 confirma que corrige una escritura fuera de límites capaz de permitir ejecución remota de código.
Qué debería pedir una empresa a su proveedor
Análisis de Perinola: para una empresa que depende de formularios, reservas o ventas online, este anuncio plantea una pregunta de mantenimiento concreta: quién comprueba las dependencias del servidor y qué evidencia conserva de cada actualización.
- Identificar el entorno: pedir confirmación de si la aplicación utiliza PHP en Windows y quién administra sus paquetes.
- Solicitar evidencia: cuando corresponda, registrar el paquete instalado y la confirmación del proveedor sobre la dependencia corregida.
- Verificar el funcionamiento: acordar una revisión de formularios, pagos, reservas e integraciones después de la intervención.
- Asignar responsable: dejar claro quién atiende una incompatibilidad y cómo se informa al negocio.
Estas son recomendaciones operativas de Perinola. La evaluación de exposición y la aplicación del paquete corresponden al administrador del entorno. El anuncio por sí solo no permite determinar si una instalación concreta ha sido atacada.
Una comprobación pequeña con consecuencias para el negocio
Un ejemplo hipotético: una tienda encarga el mantenimiento de WordPress, pero el hosting y una integración de inventario tienen responsables distintos. Antes de dar una actualización por terminada, conviene identificar qué entorno usa cada componente y quién confirma sus pruebas. Esa coordinación evita que una tarea quede sin dueño.
La decisión útil es solicitar una respuesta verificable al proveedor y conservarla junto al registro de mantenimiento. Un mensaje genérico de «todo actualizado» aporta menos información que identificar el componente, la actuación y la prueba realizada.
Fuentes: aviso oficial de PHP del 26 de octubre y publicación oficial de Brotli 1.2.1. Revisión documental asistida por IA. Perinola no ha auditado instalaciones de clientes para esta noticia. Portada conceptual creada con IA.
