PHP Windows版にBrotli修正―更新済みでも「-1」付きパッケージを確認
PHP本体のバージョン表示は変わりません。Windows向け再ビルド版の導入と、HTTP応答を自動展開する設定の確認が必要です。
Windows再ビルド版の公表日：2026-10-26 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
Webアプリの実行基盤であるPHPの開発チームは2026年10月26日、Windows向け配布物を再ビルドしました。修正版は8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1です。10月21日のPHP本体の更新を済ませた環境でも、今回の配布物を確認してください。
HTTP応答の自動展開を使う構成が対象
同梱するBrotliを1.2.1に更新し、展開時の範囲外書き込みCVE-2026-111497に対応しています。Brotliは通信データなどを圧縮・展開するライブラリです。PHP Windows版では、cURL拡張でHTTP応答の自動展開を有効にした場合に問題の処理へ到達します。
cURLではこの機能は既定で無効ですが、アプリやHTTPクライアントライブラリが有効にすることがあります。受信したHTTP応答を展開する問題であり、PHPを使うすべてのサイトが同じ条件で影響を受けるとは限りません。
PHPの版番号だけで更新済みと判断しない
「-1」は依存ライブラリを更新したWindowsパッケージの識別子です。PHPのソースと実行時の版番号は変わらないため、php -vの表示だけでは今回の更新を確認できません。
以下は編集部の確認手順です。公式ダウンロードから導入方式に合う再ビルド版を選び、取得した配布物名・ハッシュと配置先を記録します。サービスが参照するPHPの場所を確認し、更新後に再起動してください。別の製品に組み込まれたPHPは、その製品の対応手順を優先します。
Webサービスが使う実体と通信を確認する
コマンドライン用PHPだけを更新しても、Webサービスが別の配置先を使っていれば修正は反映されません。稼働先と更新した配布物を照合し、通常の画面表示と外部API通信が成功することを確認します。
この作業はWindows配布物の更新確認です。Linuxなど別の配布方式や独立したBrotli拡張まで対応済みとは判断せず、それぞれの提供元の修正情報を確認してください。
出典と編集について
PHP開発チーム：Updated PHP Windows builds for Brotli security fix（10月26日） ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。