LOGIN
In Breve (TL;DR)
- Una criticità nella libreria Brotli, integrata sia in PHP sia in .NET, può causare corruzione della memoria e attacchi denial of service, obbligando PHP e Microsoft a rilasciare aggiornamenti.
- Su Windows vanno aggiornate le build PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1; per .NET Microsoft indica le versioni 8.0.33, 9.0.22, 10.0.14 e .NET 11 RC3.
La sicurezza delle infrastrutture digitali deve tornare a fare i conti con una vulnerabilità originata all’interno di un componente di terze parti che ha costretto PHP e Microsoft a pubblicare nuovi aggiornamenti di sicurezza straordinari.
La criticità in questione prende il nome di CVE-2026-111497 ed è una pericolosa falla out-of-bounds write che è stata individuata nell’algoritmo di compressione Brotli.
L’importanza di questo aggiornamento sta nella sua natura trasversale, il problema, infatti, non nasce all'interno del codice di PHP né nell'ecosistema .NET, ma da una libreria esterna integrata in entrambi gli ambienti.
Perché la falla di Brotli può colpire PHP e .NET
Brotli è una tecnologia di compressione dati sviluppata da Google, che viene ampiamente utilizzata sul web per ridurre il peso dei trasferimenti di dati, velocizzare i caricamenti e ottimizzare la banda passante, ed è integrata nativamente all'interno di moltissimi framework e software moderni.
La sua pericolosità varia a seconda della piattaforma e, ad esempio, su Windows nel mondo PHP, questa vulnerabilità può essere sfruttata attraverso l'estensione cURL quando viene abilitata la decompressione automatica delle risposte HTTP.
Si tratta, inoltre, di un componente presente in molte librerie di terze parti comunemente utilizzate dagli sviluppatori e, se compromesso, un server malevolo o controllato da un attaccante potrebbe inviare una risposta HTTP compressa con Brotli e strutturata ad hoc per causare la corruzione della memoria del processo.
Nei sistemi .NET, invece, il problema riguarda le applicazioni che elaborano dati compressi tramite ASP.NET Core, il client HTTP nativo o le API di System.IO.Compression.
In questo caso, Microsoft ha evidenziato come l’utilizzo della falla da parte dei malintenzionati digitali possa esporre i sistemi a rischi di lettura o corruzione della memoria e ad attacchi di denial of service.
Quali versioni di PHP e .NET bisogna aggiornare
L'urgenza dell'intervento richiede agli amministratori di sistema e agli sviluppatori di verificare immediatamente le versioni in esecuzione sui propri server, avendo cura di installare quanto prima le nuove patch correttive anche se hanno aggiornato i sistemi pochi giorni fa.
Per gli ambienti PHP su Windows bisogna passare alle nuove build 8.5.12-1, 8.4.27-1, 8.3.36-1 e 8.2.35-1, che hanno al loro interno la versione corretta di Brotli (1.2.1).
Per le piattaforme .NET, invece, Microsoft raccomanda di aggiornare tempestivamente i runtime e gli SDK passando alle versioni 8.0.33, 9.0.22, 10.0.14 e .NET 11 RC3.
Oltretutto, il pacchetto di update straordinario rilasciato dal colosso di Redmond contiene anche delle correzioni mirate per alcune problematiche che il Patch Tuesday di metà mese non era riuscito a risolvere del tutto. Di conseguenza, rappresenta un passaggio obbligato anche per tutto coloro che avevano già completato la normale manutenzione di ottobre.
Per saperne di più: Sicurezza informatica: guida alla navigazione sicura sul web
Domande frequenti (FAQ)
-
Che cos’è la vulnerabilità CVE-2026-111497?È una falla out-of-bounds write nell’algoritmo di compressione Brotli, che può portare a corruzione della memoria e impatti di sicurezza.
-
Perché la falla di Brotli può colpire sia PHP sia .NET?Perché Brotli è una libreria di terze parti integrata in entrambi gli ambienti, quindi un problema nel componente esterno può propagarsi a più piattaforme.
-
Come può essere sfruttata la vulnerabilità su Windows con PHP?In particolare tramite l’estensione cURL quando è abilitata la decompressione automatica delle risposte HTTP compresse con Brotli.
-
In che modo la vulnerabilità può colpire le applicazioni .NET?Può riguardare app che elaborano dati compressi con ASP.NET Core, il client HTTP nativo o System.IO.Compression, con rischi di lettura/corruzione della memoria e denial of service.
