新闻档案 - 2012

PHP 开发团队宣布立即发布 PHP 5.5.0alpha2。此版本添加了新功能并修复了 alpha1 中的一些错误。鼓励所有 PHP 用户仔细测试此版本，并在错误跟踪系统中报告任何错误。

这只是一个开发预览版 - 不要在生产环境中使用它！

PHP 5.5.0 Alpha 2 附带新功能和改进，例如（不完整列表）

• 支持在函数调用和其他表达式的结果上使用 empty()，
• 通过在 Linux 上启用与 Systemtap 兼容的 dtrace 探测来支持 Systemtap，
• 优化对临时和已编译 VM 变量的访问。内存读取减少 8%。

请注意，此 alpha 版本还引入了 ext/mysql 弃用。

您可以在NEWS 文件（包含在发行版档案中）中阅读完整的更改列表。

要下载 PHP 5.5.0 Alpha 2 的源代码，请访问下载页面，Windows 二进制文件可在windows.php.net/qa/上找到。

感谢您帮助我们使 PHP 变得更好。

PHP 开发团队宣布立即发布 PHP 5.4.9 和 PHP 5.3.19。这些版本修复了 15 个以上的错误。鼓励所有 PHP 用户升级到 PHP 5.4.9，或者至少升级到 5.3.19。

要下载 PHP 5.4.9 和 PHP 5.3.19 的源代码，请访问我们的下载页面，Windows 二进制文件可在windows.php.net/download/上找到。

更改列表记录在ChangeLog中。

PHP 开发团队宣布立即发布 PHP 5.5.0alpha1。此版本标志着 PHP 5.5.0 发行周期的开始。鼓励所有 PHP 用户仔细测试此版本，并在错误跟踪系统中报告任何错误。

这只是一个开发预览版 - 不要在生产环境中使用它！

PHP 5.5.0 Alpha 1 附带新功能，例如（不完整列表）

• 支持生成器，
• 一个新的密码哈希 API，
• 支持 try/catch 块中的 finally，
• 支持 foreach 中的 list()，
• 常量数组/字符串取消引用，
• ext/intl 改进。

我们还放弃了对 Windows XP 和 2003 的支持。

您可以在NEWS 文件（包含在发行版档案中）中阅读完整的更改列表。

要下载 PHP 5.5.0 Alpha 1 的源代码，请访问下载页面，Windows 二进制文件可在windows.php.net/qa/上找到。

感谢您帮助我们使 PHP 变得更好。

PHP 开发团队宣布立即发布 PHP 5.4.8 和 PHP 5.3.18。这些版本修复了 20 个以上的错误。鼓励所有 PHP 用户升级到 PHP 5.4.8，或者至少升级到 5.3.18。

这些版本中的主要增强功能包括

• 修复了错误 #63111（is_callable() 对抽象静态方法撒谎）
• 修复了错误 #61442（在 __autoload 中抛出的异常无法捕获）

要下载 PHP 5.4.8 和 PHP 5.3.18 的源代码，请访问我们的下载页面，Windows 二进制文件可在windows.php.net/download/上找到。

更改列表记录在ChangeLog中。

PHP 开发团队宣布立即发布 PHP 5.4.7 和 PHP 5.3.17。这些版本修复了 20 个以上的错误。鼓励所有 PHP 用户升级到 PHP 5.4.7，或者至少升级到 5.3.17。

这些版本中的主要增强功能包括

• 修复了错误 #62955（Windows 注册表中仅加载了一个“每目录值”指令）
• 修复了错误 #62460（php 二进制文件安装为 binary.dSYM）

要下载 PHP 5.4.7 和 PHP 5.3.17 的源代码，请访问我们的下载页面，Windows 二进制文件可在windows.php.net/download/上找到。

更改列表记录在ChangeLog中。

PHP 开发团队宣布立即发布 PHP 5.4.6 和 PHP 5.3.16。这些版本修复了 20 多个错误。鼓励所有 PHP 用户升级到 PHP 5.4.6，或者至少升级到 5.3.16。

如需下载 PHP 5.4.6 和 PHP 5.3.16 的源代码，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。更改列表记录在 ChangeLog 中。

PHP 开发团队很高兴宣布立即发布 PHP 5.4.5 和 PHP 5.3.15。此版本修复了 30 多个错误，并包括针对流实现中安全相关溢出问题的修复。鼓励所有 PHP 用户升级到 PHP 5.4.5 或 PHP 5.3.15。

如需下载 PHP 5.4.5 和 PHP 5.3.15 的源代码，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。更改列表记录在 ChangeLog 中。

PHP 开发团队很高兴宣布立即发布 PHP 5.4.4 和 PHP 5.3.14。鼓励所有 PHP 用户升级到 PHP 5.4.4 或 PHP 5.3.14。

该版本修复了多个安全问题：crypt 的 DES 实现中的一个弱点以及 phar 扩展中的一个堆溢出问题

PHP 5.4.4 和 PHP 5.3.14 修复了 30 多个错误。请注意，php://fd 流的使用现在仅限于 CLI SAPI

如需下载 PHP 5.4.4 和 PHP 5.3.14 的源代码，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。更改列表记录在 ChangeLog 中。

PHP 开发团队很高兴宣布立即发布 PHP 5.4.3 和 PHP 5.3.13。鼓励所有用户升级到 PHP 5.4.3 或 PHP 5.3.13

这些版本完成了针对基于 CGI 的设置中 漏洞 (CVE-2012-2311) 的修复。注意：mod_php 和 php-fpm 不受此攻击的影响。

PHP 5.4.3 修复了 apache_request_headers() 中的缓冲区溢出漏洞 (CVE-2012-2329)。PHP 5.3 系列不受此问题的影响。

如需下载 PHP 5.4.3 和 PHP 5.3.13 的源代码，请访问我们的 下载页面，Windows 二进制文件可以在 windows.php.net/download/ 上找到。更改列表记录在 ChangeLog 中。

PHP 5.3.12/5.4.2 并没有修复 CVE-2012-1823 中描述的所有 CGI 问题的变体。我们还注意到，一些网站使用不安全的 cgiwrapper 脚本运行 PHP。这些脚本将使用 **$*** 而不是 **"$@"** 将参数传递给 php-cgi，这会导致许多问题。同样，使用 mod_php 或 php-fpm 的用户不受影响。

解决这些 CGI 问题的其中一种方法是在查询字符串中包含“-”但没有“=”时拒绝请求。可以使用 Apache 的 mod_rewrite 来实现，如下所示

    RewriteCond %{QUERY_STRING} ^[^=]*$
    RewriteCond %{QUERY_STRING} %2d|\- [NC]
    RewriteRule .? - [F,L]
    

请注意，这将阻止其他安全请求，例如 ?top-40，因此，如果您有类似的查询参数，请根据需要调整您的正则表达式。

我们计划在 5 月 8 日（星期二）发布另一组版本。这些版本将修复 CGI 缺陷以及 apache_request_header 中的另一个与 CGI 相关的问题（仅限 5.4）。

我们对这些版本带来的不便以及与之相关的（缺乏）沟通表示歉意。

某些基于 CGI 的设置中存在一个漏洞，（Apache+mod_php 和 nginx+php-fpm 不受影响），至少 8 年来一直未被发现。 CGI 规范的第 7 节 中指出

某些系统支持一种向 CGI 脚本提供字符串数组的方法。这仅用于“索引”查询的情况。这是通过“GET”或“HEAD”HTTP 请求识别出来的，该请求的 URL 搜索字符串不包含任何未编码的“=”字符。

因此，在某些 CGI 实现中，不包含“=”的查询字符串的请求与包含“=”的请求的处理方式不同。对于 PHP 来说，这意味着包含 ?-s 的请求可能会转储页面的 PHP 源代码，但包含 ?-s&=1 的请求则没问题。

许多网站将 PHP 作为 Apache 模块通过 mod_php 运行，或者使用 nginx 下的 php-fpm 运行。这两种设置都不会受到此漏洞的影响。直接 shebang 样式的 CGI 似乎也不容易受到攻击。

如果您使用 Apache mod_cgi 运行 PHP，您可能会受到攻击。要查看是否受到攻击，只需在您任何 URL 的末尾添加 ?-s。如果您看到源代码，则表示您受到攻击。如果您的网站正常呈现，则表示您没有受到攻击。

要修复此问题，请升级到 PHP 5.3.12 或 PHP 5.4.2。

我们认识到，由于 CGI 是一种相当过时的运行 PHP 的方式，因此将这些网站升级到现代版本的 PHP 可能不可行。另一种方法是配置您的 Web 服务器，使其不允许使用以“-”开头且不包含“=”的查询字符串的这类请求。添加这样的规则应该不会破坏任何网站。对于使用 mod_rewrite 的 Apache 来说，它将如下所示

         RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]
         RewriteRule ^(.*) $1? [L]
     

如果您要编写自己的规则，请务必将 urlencoded ?%2ds 版本考虑在内。

更糟糕的是，我们的错误系统中存在一个错误，它在对错误报告进行评论时，将错误报告的私有标志切换为公开标志，导致此问题在我们在理想水平上测试解决方案之前就公开发布了。请通过 bugs.php.net 报告任何问题。

如需下载 PHP 5.3.12 和 PHP 5.4.2 源代码，请访问我们的 下载页面，Windows 版本可在 windows.php.net/download/ 找到。还提供 变更日志。

PHP 开发团队宣布立即发布 PHP 5.3.11 和 PHP 5.4.1。这些版本重点关注提高当前 PHP 分支的稳定性，包含 60 多个错误修复，其中一些与安全相关。

PHP 5.3.11 和 PHP 5.4.1 的安全增强

• 修复了错误 #54374（上传名称验证不足，导致 $_FILES 索引损坏）。（CVE-2012-1172）。
• 为 readline_write_history 和 readline_read_history 添加 open_basedir 检查。

仅影响 PHP 5.3.11 的安全增强

• 修复了错误 #61043（针对 CVE-2012-0831 的 magic_quotes_gpc 修复中的回归）。

这些版本中的主要增强功能包括

• 为 DOM 对象添加了调试信息处理程序。
• 修复了错误 #61172（添加 Apache 2.4 支持）。

有关 PHP 5.3.11 和 PHP 5.4.1 中更改的完整列表，请参阅 变更日志。如需下载源代码，请访问我们的 下载页面，Windows 版本可在 windows.php.net/download/ 找到。

强烈建议所有 PHP 用户升级到 PHP 5.3.11 或 PHP 5.4.1。

PHP 开发团队宣布发布 PHP 5.4.1 的第 2 个 发布候选版本。Windows 版本可从 Windows QA 网站 下载。

这是一个发布候选版本 - 请勿在生产环境中使用！

这是第 2 个发布候选版本。发布候选版本阶段旨在作为在稳定版本发布之前进行错误修复的阶段。发布候选版本修复了在多线程中使用内部类时出现的严重问题。

自上次发布候选版本以来的所有更改列表可在 NEWS 文件中找到。

请花时间使用此发布候选版本测试您的代码库，并将遇到的任何问题报告给 QA 邮件列表 和/或 PHP 错误追踪器，帮助我们识别错误，以确保发布稳定，所有内容都按预期运行。

PHP 5.4.1 最终版本将于 4 月 26 日发布。

PHP 源代码已从 Subversion 迁移到 Git。您可以从我们的 GitHub 克隆或分支源代码，我们现在也支持通过 GitHub 进行的拉取请求，有关克隆 php-src 树的完整说明可在 php.net/git 找到。

一个直接的益处是，未来的 PHP 版本标签将由 PHP 开发团队签署。我们将在未来几天发布用于验证目的的 GPG 密钥。

有关迁移和新工作流程的更多信息，请参阅 PHP Wiki 上的 迁移到 Git 常见问题解答。

请注意，PHP 手册（包括翻译）目前仍托管在 Subversion 中，将在稍后迁移到 Git。

感谢 David Soria Parra 为将 PHP 迁移到 Git 付出的辛勤努力，并感谢 Alexander Moskaliov、Florian Anderiasch 和 Johannes Schlüter 为支持迁移而创建的脚本。开始分支吧！

PHP 开发团队自豪地宣布 PHP 5.4.0 立即发布。此版本是 5.x 系列中的一个重大飞跃，包含大量新功能和错误修复。

一些关键的新功能包括：特征、缩短的数组语法、用于测试目的的内置 Web 服务器 等。PHP 5.4.0 显著提高了性能、内存占用并修复了 100 多个错误。

对于从 PHP 5.3 升级的用户，这里提供了一个 迁移指南，详细介绍了这些版本与 PHP 5.4.0 之间的更改。

有关 PHP 5.4.0 版本的更多详细信息，请参阅 发布公告，完整的更改列表可在 变更日志 中找到。

请注意，发布版本可能需要一段时间才能在所有镜像上可用。

PHP 开发团队宣布立即发布 PHP 5.3.10。此版本提供了一个关键的安全修复。

PHP 5.3.10 中的安全修复

• 修复了 Stefan Esser 报告的任意远程代码执行漏洞，CVE-2012-0830。

强烈建议所有用户升级到 PHP 5.3.10。

如需下载源代码，请访问我们的 下载页面，Windows 版本可在 windows.php.net/download/ 找到。

PHP 开发团队宣布立即发布 PHP 5.3.9。此版本重点关注通过 90 多个错误修复提高 PHP 5.3.x 分支的稳定性，其中一些与安全相关。

PHP 5.3.9 中的安全增强和修复

• 添加了 max_input_vars 指令以防止基于哈希冲突的攻击。（CVE-2011-4885）
• 修复了错误 #60150（在解析无效 EXIF 标头期间发生整数溢出）。（CVE-2011-4566）

PHP 5.3.9 中的关键增强功能包括

• 修复了错误 #55475（is_a() 触发自动加载程序，is_a 和 is_subclass_of 的新可选第三个参数）。
• 修复了错误 #55609（mysqlnd 无法以共享方式构建）。
• FPM SAPI 模块的许多更改

有关 PHP 5.3.9 中更改的完整列表，请参阅 变更日志。如需下载源代码，请访问我们的 下载页面，Windows 版本可在 windows.php.net/download/ 找到。

强烈建议所有用户升级到 PHP 5.3.9。