Contexte de la mise à jour
Microsoft a publié, le 24 octobre 2026, une seconde mise à jour de sécurité destinée aux installations PHP sous Windows, seulement cinq jours après la première. Cette cadence indique que la vulnérabilité détectée était jugée suffisamment critique pour justifier un correctif rapide. La mise à jour intervient dans le cadre du cycle de maintenance mensuel de PHP, qui inclut les correctifs de sécurité publiés par le projet PHP et les correctifs spécifiques aux plateformes Windows fournis par Microsoft.
Le bulletin de sécurité mentionne explicitement le composant Brotli, une bibliothèque de compression largement utilisée pour réduire la taille des réponses HTTP. La présence de Brotli dans le runtime PHP expose les serveurs à une attaque de type exécution de code à distance lorsqu’un flux de données compressées est manipulé de façon malveillante.
Mécanisme de la vulnérabilité Brotli
Le défaut réside dans la fonction de décodage de libbrotli intégrée à l’extension ext/brotli de PHP. Un attaquant peut fournir un flux Brotli spécialement construit contenant des séquences de bits qui déclenchent un dépassement de tampon dans la routine de décompression. Le dépassement conduit à l’écrasement de structures de contrôle du programme, permettant l’injection d’instructions arbitraires dans le processus PHP.
Cette forme d’exploitation repose sur la capacité du serveur à accepter des entrées compressées provenant de clients externes, typiquement via des requêtes HTTP POST ou des API REST. Si le serveur désérialise ou décompresse ces données sans validation préalable, le code malveillant s’exécute avec les privilèges du processus PHP, souvent ceux du compte système sous Windows.
Analyse de l'impact et des mitigations
Le risque principal est une compromission totale du serveur web hébergeant l’application PHP. Une fois le code exécuté, l’attaquant peut installer des backdoors, extraire des bases de données ou pivoter vers d’autres services du réseau interne. La gravité est accentuée par le fait que la plupart des environnements de production utilisent la configuration par défaut, où l’extension Brotli est activée pour améliorer les performances.
Les mesures d’atténuation immédiates consistent à appliquer le correctif Windows dès sa disponibilité. En parallèle, les administrateurs peuvent désactiver l’extension Brotli dans le fichier php.ini afin de réduire la surface d’attaque jusqu’à ce que le correctif soit installé :
; Désactiver l'extension Brotli temporairement
;extension=brotli
Il est également recommandé de restreindre les points d’entrée acceptant des flux compressés, d’activer la validation du type MIME et d’utiliser des WAF capables de détecter les signatures de flux Brotli anormaux. Enfin, la surveillance des logs d’erreurs PHP pour repérer des messages de segmentation fault ou d’allocation mémoire inhabituelle peut fournir un indicateur précoce d’exploitation.
