リモートの Windows ホストにインストールされている PHP のバージョンは、 8.2.35 以前、 8.3.x8.3.36 以前、 8.4.x8.4.27 以前、 8.5.x8.5.12以前です。したがって、2026 年 10 月 26 日の PHP セキュリティアドバイザリで言及されているように、PHP Windows パッケージでバンドルされている Brotli ライブラリのバッファオーバーフローの脆弱性の影響を受ける可能性があります。

  - 1.0.3 から 1.2.0 までの Google Brotli バージョンの Brotli デコーダー(c/dec/decode.c)のバッファオーバーフローの脆弱性により、すべてのプラットフォームで、認証されていないリモートの攻撃者が、隣接するデコーダーの状態メモリを破損したり、機密メモリコンテンツを漏洩したり、サービス拒否を引き起こしたり、細工された Brotli 圧縮ストリームを使用して任意のコードを実行したりする可能性があります。PHP では、自動 HTTP 応答展開が有効な場合に、影響を受ける Brotli コードに cURL 拡張を通じて到達できます。これは cURL ではデフォルトで無効になっています。
    (CVE-2026-111497)

注意:更新済みの Windows パッケージ(8.2.35-1、 8.3.36-1、 8.4.27-1、および 8.5.12-1)は、更新済みの Brotli 依存関係に対するパッケージリビルドです。これらは同じ PHP ソースリリースを使用し、PHP ランタイムバージョンは変更されないため、Nessus は更新済みパッケージがインストールされているかどうかを判断できません。また、Nessus は、自動 HTTP 応答展開が cURL 拡張機能で有効になっているかどうかを判断できません。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

PHP <= 8.2.35 / 8.3.x <= 8.3.36 / 8.4.x <= 8.4.27 / 8.5.x <= 8.5.12 Windows ビルド Brotli のバッファオーバーフロー

critical Nessus プラグイン ID 374262

依存が見つかりません