10 月 26 日，php.net 发布了一条容易被误解的公告：updated php windows builds for brotli security fix。windows 安装包被整体重建，版本号带上 -1 后缀（8.5.12-1 / 8.4.27-1 / 8.3.36-1 / 8.2.35-1），原因是捆绑的 brotli 组件存在 cve-2026-111497 安全问题。
▲ 事件来源页面实时截图：php.net
PHP 本身没有变
重建只涉及 Windows 二进制包与 Brotli 1.2.1 依赖，PHP 运行时版本不变。php.net 下载页当前列出的 PHP 8.5 即为 8.5.12-1，构建时间 2026-Oct-26。
谁需要行动
只有 Windows 部署需要替换为带 -1 后缀的安装包。Linux 与源码编译用户不受影响，也无需因此误判出现了新的 PHP 版本。
为什么 Windows 包要重建
该批 Windows 安装包以 -1 后缀重新发布，原因是随包的 Brotli 库存在安全缺陷：压缩/解压路径在处理恶意构造的数据时可能越界。PHP 本体代码未变，但任何依赖随包 Brotli 的 Windows 部署都应改用重建版。
谁需要处理
仅影响使用官方 Windows 二进制包（含各 web 服务器集成包）的环境；Linux 发行版包由发行版自行跟进。升级方式为卸载旧包后安装 -1 版本，注意保留 php.ini 与扩展目录，安装后在 phpinfo 中核对版本后缀。
▲ 官方索引页截图
关键信息
| 项目 | 内容 |
|---|---|
| 类目 | 版本更新 |
| 级别 | 中 |
| 日期 | 2026-10-26 |
| 关联编号 | 8.x.x-1 / CVE-2026-111497 |
| 影响范围 | Windows 二进制包 |
| 核验状态 | 已官方确认 |
| 受影响与修复 | : 修复版 57434b509141a6ee9681116b8d552069126e615f, 0675b242cf45dcdd51ed6fb600876b570bea329b, 33c2a9884269798192b5ecf171288f98939dbe42 |
来源：https://www.php.net/archive/2026.php#2026-10-26-1
