Tesuji確認日：2026年10月28日
PHPとBrotliをつなぐと、PHP本体のバージョンと、実際に配ったパッケージを分けて確認する必要が見えてきます。2026年10月26日のPHP公式Windows版の更新が、その具体例です。
この2つのノードは、どこでつながるのか
PHPチームは、Windows配布物8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1を公開しました。これらはBrotli 1.2.1を含み、展開処理の脆弱性CVE-2026-111497に対応しています。末尾の「-1」は依存関係を更新したWindowsパッケージの再ビルドを示し、PHP本体の表示バージョンは変わりません。PHP公式告知
| 確認対象 | 例 | 読み取れること |
|---|---|---|
| PHP本体の版番号 | 8.5.12 | PHPソースのリリースを識別する。今回の再ビルドの適用確認には、配布物の情報も必要。 |
| Windows配布物 | 8.5.12-1 | 今回の依存関係を更新したパッケージを識別する。 |
| 同梱ライブラリ | Brotli 1.2.1 | 修正対象となる依存関係の情報。 |
この関係は、ここで挙げた公式Windows配布物についてのものです。Linuxのパッケージや独自ビルドは、それぞれの配布元・構成を確認します。
処理の経路も確認する
公式告知は、Windows配布物でcURL拡張のHTTP応答の自動展開を有効にすると、対象のデコーダーへ到達し得ると説明しています。自動展開はcURLでは標準で無効ですが、アプリやHTTPクライアントライブラリが有効にする場合があります。
確認する経路は、条件付きで「外部のHTTP応答 → cURL拡張の自動展開 → Brotliデコーダー」と整理できます。インターネットからWebページへのアクセスを受ける場面に加えて、アプリが外部のHTTP応答を受け取る処理にも目を向けます。影響条件の公式説明
配布物から稼働環境まで確認する手順
以下は、この公式告知を点検作業につなげるための運用案です。
- 配布元を確認する。 公式Windows版、OSベンダー版、独自ビルドなどを区別する。
- 実際に使ったパッケージを確認する。 ダウンロード元、パッケージ名、取得日、提供されている場合はチェックサムを記録する。
- 利用経路を調べる。 cURL拡張とHTTPクライアントの設定、外部応答を展開する処理を確認する。
- 展開先を対応づける。 どのサーバーや実行環境に、その配布物を反映したかを記録する。
- 切り替え後を確認する。 実行環境の版情報や配布記録を照合し、更新前のプロセスが残っていないか確かめる。
「PHPは8.5.12だから対応済み」という記録に、配布物と反映先を加える。PHPとBrotliの関係をたどることで、確認の単位を具体化できます。