WordPress sites can be crashed via Brotli flaw in libcurl; patch the OS
Original title：WordPress doesn’t ship Brotli. It’s still exposed to CVE-2026-111497
What happened
WordPress does not ship Brotli but uses the OS copy via libcurl, so one unauthenticated pingback to xmlrpc.php can crash a PHP worker. CISA lists the flaw as exploited; public WordPress tooling stops at crashes, and code execution is not established.
Who is affected
- Anyone running a WordPress site
- Teams using the official WordPress Docker image
- Sites with plugins that fetch URLs
What to do
Update the OS libbrotli1 package (in Docker, upgrade it in your own layer). If you can't yet, add the http_api_curl filter to disable auto-decompression and unset pingback.ping or block xmlrpc.php at the web server.
Affected products
| Product | Affected | Fixed in |
|---|---|---|
| Brotli (libbrotli) | 1.0.3〜1.2.0 | 1.0.10 / 1.1.1 / 1.2.1（Debian・Ubuntu はバックポート版パッケージで確認） |
| WordPress 公式 Docker イメージ (wordpress:latest) | 記事時点で脆弱な libbrotli1 を含む | 要確認（基盤イメージ再構築まで、自前レイヤーで libbrotli1 を更新） |
Why this flag
CISA KEV に掲載（悪用確認済み）かつ重大な影響
Red flag: session stopped — Exploitation confirmed with major impact. Assigned only when listed in CISA KEV or confirmed by a primary source.
Sources
- Source：Patchstack Blog ↗
- CVE：CVE-2026-111497 ↗
Revision history（4）
- RED FLAGスコープ拡大：WordPress が libcurl 経由で Brotli を使うため、xmlrpc.php のピングバック（認証不要）などから到達可能と判明。公開PoCはクラッシュ（サービス停止）までで、コード実行は未確認。修正版の追加情報（wordpress:latest イメージは未修正、Debian/Ubuntu はバックポート）も反映。
- RED FLAGCISA KEV に登録され、悪用が確認された（従来は悪用情報なし）。コードを DOUBLE_YELLOW から RED 相当の提案へ引き上げ。
- DOUBLE YELLOW FLAGスコープ拡大：PHP の Windows 版ビルドも影響を受けることが判明し、修正済みビルド（8.5.12-1、8.4.27-1、8.3.36-1、8.2.35-1）が公開された。悪用状況は変わらず不明（none_known）。
- DOUBLE YELLOW FLAGFirst report
Change notes are currently available in Japanese only.