新聞檔案 - 2012

PHP 開發團隊宣布 PHP 5.5.0 alpha2 即日起正式推出。此版本新增了一些功能並修正了 alpha1 中的一些錯誤。我們鼓勵所有 PHP 使用者仔細測試此版本，並在錯誤追蹤系統中回報任何錯誤。

這是開發預覽版 - 請勿在正式環境中使用！

PHP 5.5.0 Alpha 2 具有新的功能和改進，例如（清單不完整）：

• 支援對函式呼叫和其他運算式的結果使用 empty()，
• 透過在 Linux 上啟用與 systemtap 相容的 dtrace 探測來支援 systemtap，
• 最佳化對暫存和編譯 VM 變數的存取。記憶體讀取量減少 8%。

請注意，此 alpha 版本也引入了 ext/mysql 的棄用。

您可以在發行封存中包含的NEWS 檔案中閱讀完整的變更清單。

如需下載 PHP 5.5.0 Alpha 2 的原始碼，請造訪下載頁面，Windows 版本可在 windows.php.net/qa/ 找到。

感謝您協助我們讓 PHP 變得更好。

PHP 開發團隊宣布 PHP 5.4.9 和 PHP 5.3.19 即日起正式推出。這些版本修復了超過 15 個錯誤。建議所有 PHP 使用者升級到 PHP 5.4.9 或至少 5.3.19。

如需下載 PHP 5.4.9 和 PHP 5.3.19 的原始碼，請造訪我們的下載頁面，Windows 版本可在 windows.php.net/download/ 找到。

變更列表記錄在變更記錄中。

PHP 開發團隊宣布 PHP 5.5.0alpha1 即日起正式推出。此版本標誌著 PHP 5.5.0 發布週期的開始。建議所有 PHP 使用者仔細測試此版本，並在錯誤追蹤系統中回報任何錯誤。

這是開發預覽版 - 請勿在正式環境中使用！

PHP 5.5.0 Alpha 1 附帶了新功能，例如（不完整列表）：

• 支援產生器 (Generators)，
• 新的密碼雜湊 API，
• 在 try/catch 區塊中支援 finally，
• 在 foreach 中支援 list()，
• 常數陣列/字串解引用，
• ext/intl 的改進。

我們也停止了對 Windows XP 和 2003 的支援。

您可以在發布封存中包含的NEWS 檔案中閱讀完整的變更列表。

如需下載 PHP 5.5.0 Alpha 1 的原始碼，請造訪下載頁面，Windows 版本可在 windows.php.net/qa/ 找到。

感謝您協助我們讓 PHP 變得更好。

PHP 開發團隊宣布 PHP 5.4.8 和 PHP 5.3.18 即日起正式發布。這些版本修復了超過 20 個錯誤。我們鼓勵所有 PHP 使用者升級至 PHP 5.4.8，或至少升級至 5.3.18。

這些版本的主要增強功能包括：

• 修復錯誤 #63111 (is_callable() 對於抽象靜態方法判斷錯誤)
• 修復錯誤 #61442 (__autoload 中拋出的例外無法被攔截)

PHP 5.4.8 和 PHP 5.3.18 的原始碼下載，請造訪我們的 下載頁面，Windows 二進位檔案可在 windows.php.net/download/ 找到。

變更列表記錄在變更記錄中。

PHP 開發團隊宣布 PHP 5.4.7 和 PHP 5.3.17 即日起正式發布。這些版本修復了超過 20 個錯誤。我們鼓勵所有 PHP 使用者升級至 PHP 5.4.7，或至少升級至 5.3.17。

這些版本的主要增強功能包括：

• 修復錯誤 #62955（Windows 登錄檔的「每個目錄值」中只載入一個指令）。
• 修復錯誤 #62460（php 二進位檔案安裝為 binary.dSYM）。

PHP 5.4.7 和 PHP 5.3.17 的原始碼下載，請造訪我們的 下載頁面，Windows 二進位檔案可在 windows.php.net/download/ 找到。

變更列表記錄在變更記錄中。

PHP 開發團隊宣布 PHP 5.4.6 和 PHP 5.3.16 正式發布。這些版本修復了超過 20 個錯誤。鼓勵所有 PHP 使用者升級到 PHP 5.4.6，或至少升級到 5.3.16。

PHP 5.4.6 和 PHP 5.3.16 的原始碼下載，請造訪我們的下載頁面，Windows 二進制檔可以在windows.php.net/download/找到。變更列表記錄在變更日誌中。

PHP 開發團隊在此宣布 PHP 5.4.5 和 PHP 5.3.15 正式發布。此版本修復了超過 30 個錯誤，並包含一個針對串流實作中與安全性相關的溢位問題的修復。我們鼓勵所有 PHP 使用者升級到 PHP 5.4.5 或 PHP 5.3.15。

PHP 5.4.5 和 PHP 5.3.15 的原始碼下載，請至我們的下載頁面，Windows 版本可在 windows.php.net/download/ 找到。變更列表記錄在變更紀錄中。

PHP 開發團隊在此宣布 PHP 5.4.4 和 PHP 5.3.14 正式發布。我們鼓勵所有 PHP 使用者升級到 PHP 5.4.4 或 PHP 5.3.14。

此版本修復了多個安全漏洞：crypt 的 DES 實作中的弱點，以及 phar 副檔名中的堆積溢位問題。

PHP 5.4.4 和 PHP 5.3.14 修復了超過 30 個錯誤。請注意，php://fd 串流的使用現在僅限於 CLI SAPI。

PHP 5.4.4 和 PHP 5.3.14 的原始碼下載，請至我們的下載頁面，Windows 版本可在 windows.php.net/download/ 找到。變更列表記錄在變更紀錄中。

PHP 開發團隊在此宣布 PHP 5.4.3 和 PHP 5.3.13 正式發布。我們鼓勵所有使用者升級到 PHP 5.4.3 或 PHP 5.3.13。

此版本完成了針對基於 CGI 的設定中的漏洞 (CVE-2012-2311) 的修復。注意：mod_php 和 php-fpm 不會受到此攻擊的影響。

PHP 5.4.3 修復了 apache_request_headers() 中的緩衝區溢位漏洞 (CVE-2012-2329)。PHP 5.3 系列不受此問題影響。

PHP 5.4.3 和 PHP 5.3.13 的原始碼下載，請至我們的下載頁面，Windows 版本可在 windows.php.net/download/ 找到。變更列表記錄在變更紀錄中。

PHP 5.3.12/5.4.2 並未修復 CVE-2012-1823 中描述的所有 CGI 問題變種。我們也注意到有些網站使用不安全的 cgiwrapper 腳本來執行 PHP。這些腳本會使用 $* 而不是 "$@" 來將參數傳遞給 php-cgi，這會導致一些問題。再次強調，使用 mod_php 或 php-fpm 的用戶不受影響。

解決這些 CGI 問題的一種方法是，如果查詢字串包含 '-' 且不包含 '='，則拒絕請求。可以使用 Apache 的 mod_rewrite 模組來完成，如下所示：

    RewriteCond %{QUERY_STRING} ^[^=]*$
    RewriteCond %{QUERY_STRING} %2d|\- [NC]
    RewriteRule .? - [F,L]
    

請注意，這會阻止其他安全的請求，例如 ?top-40，因此如果您有看起來像這樣的查詢參數，請相應地調整您的正則表達式。

另一組版本計劃於 5 月 8 日星期二發布。這些版本將修復 CGI 漏洞以及 apache_request_header 中另一個與 CGI 相關的問題（僅限 5.4）。

對於這些版本造成的不便以及圍繞它們的（缺乏）溝通，我們深感抱歉。

某些基於 CGI 的設定中存在一個漏洞（Apache+mod_php 和 nginx+php-fpm 不受影響），該漏洞至少 8 年來一直未被發現。CGI 規範的第 7 節 指出

某些系統支援一種將字串陣列提供給 CGI 腳本的方法。這僅用於「索引」查詢的情況。這可以通過「GET」或「HEAD」HTTP 請求來識別，其 URL 搜尋字串不包含任何未編碼的「=」字元。

因此，在某些 CGI 實作中，查詢字串中不包含「=」的請求與包含「=」的請求的處理方式不同。對於 PHP 而言，這意味著包含 ?-s 的請求可能會洩漏頁面的 PHP 原始碼，但包含 ?-s&=1 的請求則沒問題。

許多網站都通過 mod_php 將 PHP 作為 Apache 模組運行，或在 nginx 下使用 php-fpm 運行。這些設定都不受此漏洞的影響。直接的 shebang 風格的 CGI 似乎也不受影響。

如果您使用 Apache mod_cgi 運行 PHP，則可能容易受到攻擊。要查看您是否容易受到攻擊，只需在任何 URL 的末尾添加 ?-s。如果您看到您的原始碼，則表示您容易受到攻擊。如果您的網站正常顯示，則表示您沒有受到影響。

要修復此問題，請更新至 PHP 5.3.12 或 PHP 5.4.2。

我們認識到，由於 CGI 是一種相當過時的 PHP 運行方式，因此將這些網站升級到現代版本的 PHP 可能不可行。另一種方法是將您的網路伺服器設定為不允許這種類型的請求通過，即查詢字串以「-」開頭且不包含「=」。新增這樣的規則應該不會破壞任何網站。對於使用 mod_rewrite 的 Apache，它看起來像這樣

         RewriteCond %{QUERY_STRING} ^(%2d|-)[^=]+$ [NC]
         RewriteRule ^(.*) $1? [L]
     

如果您正在編寫自己的規則，請務必考慮 urlencoded 的 ?%2ds 版本。

更糟的是，我們的錯誤系統中存在一個錯誤，該錯誤在對錯誤報告的評論中將錯誤報告的私有標誌切換為公開，導致此問題在我們有時間對解決方案進行我們想要的級別的測試之前就公開了。請通過 bugs.php.net 報告任何問題。

如需 PHP 5.3.12 和 PHP 5.4.2 的原始碼下載，請造訪我們的 下載頁面，Windows 二進位檔可在 windows.php.net/download/ 上找到。變更日誌 存在。

PHP 開發團隊宣布 PHP 5.3.11 和 PHP 5.4.1 正式發布。這些版本著重於提升當前 PHP 分支的穩定性，包含超過 60 項錯誤修正，其中一些與安全性相關。

PHP 5.3.11 和 PHP 5.4.1 的安全性增強

• 修正錯誤 #54374（上傳名稱驗證不足導致 $_FILES 索引損毀）。(CVE-2012-1172)。
• 新增 open_basedir 檢查到 readline_write_history 和 readline_read_history。

僅影響 PHP 5.3.11 的安全性增強

• 修正錯誤 #61043（針對 CVE-2012-0831 的 magic_quotes_gpc 修正中的回歸）。

這些版本的主要增強功能包括：

• 新增偵錯資訊處理器到 DOM 物件。
• 修正錯誤 #61172（新增 Apache 2.4 支援）。

PHP 5.3.11 和 PHP 5.4.1 的完整變更列表，請參閱變更日誌。原始碼下載請造訪我們的下載頁面，Windows 二進位檔可在windows.php.net/download/找到。

強烈建議所有 PHP 使用者升級到 PHP 5.3.11 或 PHP 5.4.1。

PHP 開發團隊宣布 PHP 5.4.1 的第二個候選版本。Windows 二進位檔可以從Windows QA 網站下載。

這是候選版本 - 請勿在正式環境中使用！

這是第二個候選版本。候選版本階段旨在作為穩定版本發布前的錯誤修正期。此候選版本修正了在多個執行緒中使用內部類別時的嚴重問題。

自上次候選版本以來的完整變更列表可以在NEWS檔案中找到。

請協助我們找出錯誤，以確保發布版本穩定且所有功能如預期般運作，請花時間針對您的程式碼庫測試此候選版本，並將您遇到的任何問題回報至QA 郵件列表和/或PHP 錯誤追蹤器。

PHP 5.4.1 正式版將於 4 月 26 日發布。

PHP 原始碼從 Subversion 遷移到 Git 的工作已完成。您可以從我們的GitHub複製或分支原始碼，我們現在也支援透過 GitHub 發出的拉取請求，關於複製 php-src 樹的完整說明可以在php.net/git找到。

一個直接的好處是未來的 PHP 發布標籤將由 PHP 開發團隊簽署。我們將在接下來的幾天內發布 GPG 金鑰以供驗證。

更多關於遷移和新工作流程的資訊可以在 PHP Wiki 上的遷移至 Git 常見問題找到。

請注意，PHP 手冊，包括翻譯，目前仍託管在 Subversion 中，並將在稍後遷移到 Git。

非常感謝 David Soria Parra 為實現轉換到 Git 所做的努力，以及 Alexander Moskaliov、Florian Anderiasch 和 Johannes Schlüter 為支援轉換所需的腳本所做的工作。讓分支開始吧！

PHP 開發團隊很榮幸地宣布 PHP 5.4.0 版本正式釋出。這個版本是 5.x 系列的一大躍進，包含了許多新功能和錯誤修正。

一些重要的更新包含：Traits、簡短的陣列語法、內建用於測試的網頁伺服器等等。PHP 5.4.0 版本顯著提升了效能、減少了記憶體使用量，並修正了超過 100 個錯誤。

從 PHP 5.3 升級的使用者可以參考此處的遷移指南，其中詳細說明了這些版本和 PHP 5.4.0 之間的差異。

更多關於 PHP 5.4.0 版本的詳細資訊，請參閱版本公告，完整的變更列表可在變更日誌中找到。

請注意，所有鏡像站點同步更新版本可能需要一些時間。

PHP 開發團隊在此宣布 PHP 5.3.10 版本正式釋出。此版本修復了一個重要的安全性漏洞。

PHP 5.3.10 的安全性修正

• 修復了由 Stefan Esser 報告的任意遠端程式碼執行漏洞，CVE-2012-0830。

強烈建議所有使用者升級到 PHP 5.3.10。

原始碼下載請至我們的下載頁面，Windows 版本可在 windows.php.net/download/ 找到。

PHP 開發團隊在此宣布 PHP 5.3.9 版本正式釋出。此版本著重於提升 PHP 5.3.x 分支的穩定性，包含超過 90 個錯誤修正，其中一些與安全性相關。

PHP 5.3.9 的安全性增強和修正

• 新增 max_input_vars 指令以防止基於雜湊碰撞的攻擊。(CVE-2011-4885)
• 修正錯誤 #60150 (解析無效 exif 標頭期間的整數溢位)。(CVE-2011-4566)

PHP 5.3.9 的主要增強功能包括

• 修正錯誤 #55475 (is_a() 觸發自動載入器，is_a 和 is_subclass_of 的新的可選第三個參數)。
• 修正錯誤 #55609 (mysqlnd 無法建置成共享模組)
• 對 FPM SAPI 模組進行了許多更改

PHP 5.3.9 的完整變更列表，請參閱變更日誌。原始碼下載請至我們的下載頁面，Windows 版本可在 windows.php.net/download/ 找到。

強烈建議所有使用者升級到 PHP 5.3.9。