新闻存档 - 2012

PHP 开发团队宣布立即发布 PHP 5.5.0alpha2。此版本添加了新功能并修复了 alpha1 中的一些错误。鼓励所有 PHP 用户仔细测试此版本，并在错误跟踪系统中报告任何错误。

这是开发预览版 - 请勿在生产环境中使用！

PHP 5.5.0 Alpha 2 带来了新的功能和改进，例如（不完整列表）

• 支持对函数调用和其他表达式的结果使用 empty()，
• 通过在 Linux 上启用与 systemtap 兼容的 dtrace 探针来支持 Systemtap，
• 优化对临时和已编译的 VM 变量的访问。减少 8% 的内存读取。

请注意，此 alpha 版本还引入了 ext/mysql 的弃用。

您可以在发布存档中包含的NEWS 文件中阅读完整的更改列表。

有关 PHP 5.5.0 Alpha 2 的源代码下载，请访问下载页面，Windows 二进制文件可以在windows.php.net/qa/上找到。

感谢您帮助我们使 PHP 变得更好。

PHP 开发团队宣布立即发布 PHP 5.4.9 和 PHP 5.3.19。这些版本修复了 15 个以上的错误。鼓励所有 PHP 用户升级到 PHP 5.4.9，或者至少升级到 5.3.19。

有关 PHP 5.4.9 和 PHP 5.3.19 的源代码下载，请访问我们的下载页面，Windows 二进制文件可以在windows.php.net/download/上找到。

更改列表记录在ChangeLog中。

PHP 开发团队宣布立即发布 PHP 5.5.0alpha1。此版本标志着 PHP 5.5.0 发布周期的开始。鼓励所有 PHP 用户仔细测试此版本，并在错误跟踪系统中报告任何错误。

这是开发预览版 - 请勿在生产环境中使用！

PHP 5.5.0 Alpha 1 带来了新的功能，例如（不完整列表）

• 支持生成器，
• 新的密码哈希 API，
• 支持 try/catch 块中的 finally，
• 支持 foreach 中的 list()，
• 常量数组/字符串解除引用，
• ext/intl 改进。

我们还放弃了对 Windows XP 和 2003 的支持。

您可以在发布存档中包含的NEWS 文件中阅读完整的更改列表。

有关 PHP 5.5.0 Alpha 1 的源代码下载，请访问下载页面，Windows 二进制文件可以在windows.php.net/qa/上找到。

感谢您帮助我们使 PHP 变得更好。

PHP 开发团队宣布立即发布 PHP 5.4.8 和 PHP 5.3.18。这些版本修复了 20 多个错误。鼓励所有 PHP 用户升级到 PHP 5.4.8，或者至少升级到 5.3.18。

这些版本中的主要增强功能包括

• 修复了错误 #63111（is_callable() 对抽象静态方法撒谎）
• 修复了错误 #61442（在 __autoload 中抛出的异常无法捕获）

有关 PHP 5.4.8 和 PHP 5.3.18 的源代码下载，请访问我们的下载页面，Windows 二进制文件可以在windows.php.net/download/上找到。

更改列表记录在ChangeLog中。

PHP 开发团队宣布 PHP 5.4.7 和 PHP 5.3.17 立即可用。这些版本修复了20多个错误。鼓励所有 PHP 用户升级到 PHP 5.4.7，或者至少升级到 5.3.17。

这些版本中的主要增强功能包括

• 修复了错误 #62955（仅加载一个指令来自“每个目录值”Windows 注册表）。
• 修复了错误 #62460（php 二进制文件安装为 binary.dSYM）。

要获取 PHP 5.4.7 和 PHP 5.3.17 的源代码下载，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。

更改列表记录在ChangeLog中。

PHP 开发团队宣布 PHP 5.4.6 和 PHP 5.3.16 立即可用。这些版本修复了20多个错误。鼓励所有 PHP 用户升级到 PHP 5.4.6，或者至少升级到 5.3.16。

要获取 PHP 5.4.6 和 PHP 5.3.16 的源代码下载，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。更改列表记录在 ChangeLog 中。

PHP 开发团队很高兴地宣布 PHP 5.4.5 和 PHP 5.3.15 立即可用。此版本修复了30多个错误，并包括对流实现中与安全相关的溢出问题的修复。鼓励所有 PHP 用户升级到 PHP 5.4.5 或 PHP 5.3.15。

要获取 PHP 5.4.5 和 PHP 5.3.15 的源代码下载，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。更改列表记录在 ChangeLog 中。

PHP 开发团队很高兴地宣布 PHP 5.4.4 和 PHP 5.3.14 立即可用。鼓励所有 PHP 用户升级到 PHP 5.4.4 或 PHP 5.3.14。

此版本修复了多个安全问题： crypt 的 DES 实现中的弱点以及 phar 扩展中的堆溢出问题

PHP 5.4.4 和 PHP 5.3.14 修复了30多个错误。请注意，php://fd 流的使用现在仅限于 CLI SAPI

要获取 PHP 5.4.4 和 PHP 5.3.14 的源代码下载，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。更改列表记录在 ChangeLog 中。

PHP 开发团队很高兴地宣布 PHP 5.4.3 和 PHP 5.3.13 立即可用。鼓励所有用户升级到 PHP 5.4.3 或 PHP 5.3.13

这些版本完成了对基于 CGI 的设置中的 漏洞（CVE-2012-2311）的修复。注意：mod_php 和 php-fpm 不会受到此攻击的影响。

PHP 5.4.3 修复了 apache_request_headers() 中的缓冲区溢出漏洞 (CVE-2012-2329)。PHP 5.3 系列不会受到此问题的影响。

如需下载 PHP 5.4.3 和 PHP 5.3.13 的源代码，请访问我们的 下载页面，Windows 版本的二进制文件可在 windows.php.net/download/ 找到。更改列表记录在 ChangeLog 中。

PHP 5.3.12/5.4.2 并没有修复 CVE-2012-1823 中描述的所有 CGI 问题变体。我们还注意到，一些站点使用不安全的 cgiwrapper 脚本运行 PHP。这些脚本将使用 $* 而不是 "$@" 来传递参数给 php-cgi，这会导致许多问题。再次说明，使用 mod_php 或 php-fpm 的用户不受影响。

解决这些 CGI 问题的一种方法是，如果查询字符串包含 "-" 且不包含 "="，则拒绝请求。可以使用 Apache 的 mod_rewrite 模块来实现，如下所示

    RewriteCond %{QUERY_STRING} ^[^=]*$
    RewriteCond %{QUERY_STRING} %2d|\- [NC]
    RewriteRule .? - [F,L]
    

请注意，这将阻止其他安全的请求，例如 ?top-40，因此如果您有类似的查询参数，请相应地调整正则表达式。

另一组版本计划于 5 月 8 日星期二发布。这些版本将修复 CGI 漏洞以及 apache_request_header 中另一个与 CGI 相关的漏洞（仅限 5.4）。

对于这些版本带来的不便以及（缺乏）沟通，我们深表歉意。

某些基于 CGI 的设置（Apache+mod_php 和 nginx+php-fpm 不受影响）中存在一个漏洞，至少 8 年来一直未被发现。 CGI 规范的第 7 节 指出

某些系统支持一种向 CGI 脚本提供字符串数组的方法。这仅在“索引”查询的情况下使用。这由带有 URL 搜索字符串（不包含任何未编码的“=”字符）的“GET”或“HEAD”HTTP 请求识别。

因此，在某些 CGI 实现中，不包含“=”的查询字符串的请求与包含“=”的请求的处理方式不同。对于 PHP 来说，这意味着包含 ?-s 的请求可能会转储页面的 PHP 源代码，但包含 ?-s&=1 的请求则没问题。

大量站点将 PHP 作为 Apache 模块（通过 mod_php）或使用 nginx 下的 php-fpm 运行。这些设置都不容易受到此漏洞的影响。直接使用 Shebang 样式的 CGI 似乎也不容易受到此漏洞的影响。

如果您使用 Apache mod_cgi 运行 PHP，则可能容易受到攻击。要查看您是否容易受到攻击，只需在任何 URL 的末尾添加 ?-s。如果您看到源代码，则表示您容易受到攻击。如果您的站点正常呈现，则表示您没有受到攻击。

要解决此问题，请更新到 PHP 5.3.12 或 PHP 5.4.2。

我们认识到，由于 CGI 是一种相当过时的运行 PHP 的方式，因此将这些站点升级到 PHP 的现代版本可能不可行。另一种方法是配置您的 Web 服务器，不允许这些类型以 "-" 开头且不包含 "=" 的查询字符串的请求通过。添加这样的规则不应该破坏任何站点。对于使用 mod_rewrite 的 Apache，它看起来像这样

         RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]
         RewriteRule ^(.*) $1? [L]
     

如果您正在编写自己的规则，请务必考虑 urlencoded ?%2ds 版本。

雪上加霜的是，我们的 bug 系统中存在一个 bug，它会在对 bug 报告的评论中将 bug 报告的私有标志切换为公开，导致此问题在我们有时间对解决方案进行充分测试之前就公开了。请通过 bugs.php.net 报告任何问题。

如需下载 PHP 5.3.12 和 PHP 5.4.2 的源代码，请访问我们的 下载页面，Windows 版本的二进制文件可在 windows.php.net/download/ 找到。 ChangeLog 已经存在。

PHP 开发团队宣布立即提供 PHP 5.3.11 和 PHP 5.4.1。这些版本侧重于提高当前 PHP 分支的稳定性，并修复了 60 多个 bug，其中一些与安全相关。

PHP 5.3.11 和 PHP 5.4.1 的安全增强功能

• 修复了 bug #54374（上传名称验证不足，导致 $_FILES 索引损坏）。(CVE-2012-1172)。
• 向 readline_write_history 和 readline_read_history 添加 open_basedir 检查。

仅影响 PHP 5.3.11 的安全增强功能

• 修复了 bug #61043（CVE-2012-0831 的 magic_quotes_gpc 修复中的回归）。

这些版本中的主要增强功能包括

• 向 DOM 对象添加了调试信息处理程序。
• 修复了 bug #61172（添加 Apache 2.4 支持）。

有关 PHP 5.3.11 和 PHP 5.4.1 中所有更改的完整列表，请参阅 ChangeLog。如需下载源代码，请访问我们的 下载页面，Windows 版本的二进制文件可在 windows.php.net/download/ 找到。

强烈建议所有 PHP 用户升级到 PHP 5.3.11 或 PHP 5.4.1。

PHP 开发团队宣布发布 PHP 5.4.1 的第二个 候选版本。Windows 版本的二进制文件可以从 Windows QA 网站 下载。

这是一个候选版本 - 请勿在生产环境中使用！

这是第二个候选版本。候选版本阶段旨在作为稳定版本发布前的错误修复阶段。候选版本修复了在多线程中使用内部类时出现的严重问题。

自上次候选版本以来的所有更改的完整列表可在 NEWS 文件中找到。

请帮助我们识别错误，以确保发布版本稳定，并且所有内容都按预期工作。请花时间针对您的代码库测试此候选版本，并将您遇到的任何问题报告给 QA 邮件列表 和/或 PHP bug 跟踪器。

PHP 5.4.1 正式版将于 4 月 26 日发布。

PHP 源代码从 Subversion 迁移到 Git 的工作已完成。您可以从我们的 GitHub 克隆或分叉源代码，我们现在还支持通过 GitHub 发起的拉取请求，有关克隆 php-src 树的完整说明可在 php.net/git 找到。

一个直接的好处是，未来的 PHP 版本标签将由 PHP 开发团队签名。我们将在未来几天内发布用于验证目的的 GPG 密钥。

有关迁移和新工作流程的更多信息，请参阅 PHP Wiki 上的 迁移到 Git 常见问题解答。

请注意，PHP 手册（包括翻译）目前仍在 Subversion 中托管，并将在稍后日期迁移到 Git。

非常感谢 David Soria Parra 为将转换到 Git 变为现实所付出的辛勤工作，以及 Alexander Moskaliov、Florian Anderiasch 和 Johannes Schlüter 为支持转换所需的脚本所做的工作。开始分叉吧！

PHP 开发团队自豪地宣布立即提供 PHP 5.4.0。此版本是 5.x 系列的重大飞跃，其中包含大量新功能和错误修复。

一些关键的新功能包括：Traits、简化的数组语法、用于测试目的的内置 Web 服务器 等。PHP 5.4.0 显着提高了性能、内存占用并修复了 100 多个 bug。

对于从 PHP 5.3 升级的用户，可以在这里找到 迁移指南，其中详细介绍了这些版本与 PHP 5.4.0 之间的更改。

有关 PHP 5.4.0 版本的更多详细信息，请参阅 发布公告，完整的更改列表可在 ChangeLog 中找到。

请注意，所有镜像可能需要一段时间才能提供此版本。

PHP 开发团队宣布立即提供 PHP 5.3.10。此版本提供了一个关键的安全修复。

PHP 5.3.10 中的安全修复

• 修复了 Stefan Esser 报告的任意远程代码执行漏洞，CVE-2012-0830。

强烈建议所有用户升级到 PHP 5.3.10。

如需下载源代码，请访问我们的 下载页面，Windows 版本的二进制文件可在 windows.php.net/download/ 找到。

PHP 开发团队宣布立即提供 PHP 5.3.9。此版本侧重于提高 PHP 5.3.x 分支的稳定性，并修复了 90 多个 bug，其中一些与安全相关。

PHP 5.3.9 中的安全增强功能和修复

• 添加了 max_input_vars 指令以防止基于哈希冲突的攻击。(CVE-2011-4885)
• 修复了 bug #60150（在解析无效的 exif 标头期间出现整数溢出）。(CVE-2011-4566)

PHP 5.3.9 中的关键增强功能包括

• 修复了 bug #55475（is_a() 触发自动加载器，is_a 和 is_subclass_of 的新的可选第三个参数）。
• 修复了 bug #55609（mysqlnd 无法构建为共享库）。
• 对 FPM SAPI 模块进行了许多更改

有关 PHP 5.3.9 中所有更改的完整列表，请参阅 ChangeLog。如需下载源代码，请访问我们的 下载页面，Windows 版本的二进制文件可在 windows.php.net/download/ 找到。

强烈建议所有用户升级到 PHP 5.3.9。