Mark Adler氏はzlib 1.4を公開した。リリースノートの日付は11月4日、GitHubのタグは11月5日である。1.3.2からの変更には、セキュリティ修正と、ビルドや型の互換性に触る変更が同時に入っている。
非ブロッキングの gzwrite() にはバッファオーバーフローがあり、CVE-2026-85091として直した。inflateGetDictionary() は、不正なウィンドウサイズのヘッダに対して inflateReset() か inflateSync() を呼ぶと、呼び出し側の32KBバッファを最大8MB越えて書けた。対象は1.3.1と1.3.2である。inflateSync、inflatePrime、deflatePrime、inflateBack、gzseek、deflateResetKeepの境界条件も直した。
同梱のminizipでは、中央ディレクトリ処理の二重解放に加え、miniunzが展開ディレクトリの外へディレクトリを作り、Windowsでは任意の場所へファイルを書けた。パスは部品ごとに処理するよう変わった。contrib/infback9の範囲外ポインタ演算はCVE-2026-4738として除かれたが、ノートは、使用前に範囲内へ戻るため深刻度の評価は過大だと書いている。contrib/iostream2は未修正である。信頼できない入力に対して安全ではなく、圧縮データ内の長さを検査せず文字列を読むため、宛先バッファを越えて書ける。ノートはiostream3への切り替えを勧めている。
互換性では、決まっていないときの z_off_t が1.3.2の long long から、1.3.1と同じ long に戻る。1.3.2のヘッダでビルドしたWindowsアプリは再コンパイルが要る。MSVCのライブラリ名は z から libz になり、CMakeの最低版は3.15である。自分で同梱しているzlibと、minizipやiostream2の使用有無を、配布パッケージの更新と別に確認する。