PHP. Актуальные версии

[Woin]

В данной теме будут выкладываться релизы php для обновления Ваших веб-серверов или сборки их вручную с нуля.

If you are using PHP with Apache 1 or Apache2 from apache.org you need to use the VC6 versions of PHP
If you are using PHP with IIS you should use the VC9 versions of PHP

выкладываться будут только VC6 версии, т.к. по статистике IIS среди пользователей форума никто не использует. Если все же понадобятся версии и под него: пишите мне в личку - добавлю.

Версии для windows в архивах zip, для linux-like в tar.gz

"nts" в имени файла это "Non Thread Safe"

Потоковая безопасность (англ. thread-safety) — это концепция программирования, применимая к многопоточным программам. Код потоково-безопасный, если он функционирует корректно при использовании из нескольких потоков одновременно. В частности, он должен обеспечивать корректный доступ нескольких потоков к разделяемым данным.

[Woin]

PHP 5.3.1 19 ноября 2009 г.

- Добавлена директива max_file_uploads которая управляет максимальным количеством загружаемых файлов для избежания DDos (атака отказ от обслуживания) через переполнение каталога для временных файлов TMP.
- Добавлены отсутствующие проверки для exif;
- Исправлен режим Safe-mode в обход функции tempnam();
- Исправлен параметр open_basedir в обход функции posix_mkfifo();

ВНИМАНИЕ!
- Функции session_register(), session_unregister(), session_is_registered(), define_syslog_variables() и ereg extension помечены устаревшими (Deprecated) и будут удалены в новых версиях. Естественно все старые движки использующие эти функции будут писать сообщения об их устаревании. Для отключения вывода уведомлений, об устаревании функций, достаточно исправить в php.ini error_reporting = E_ALL на

Код: Выделить всё

error_reporting = E_ALL && ~E_DEPRECATED

- Также обязательно прописать временную зону в php.ini [/color]

Код: Выделить всё

date.timezone = "Europe/Moscow"

[Woin]

PHP 5.3.2 4 марта 2010 г.

ChangeLog

PHP 5 ChangeLog
Version 5.3.2
04-March-2010
Security Fixes
Improved LCG entropy. (Rasmus, Samy Kamkar)
Fixed safe_mode validation inside tempnam() when the directory path does not end with a /). (Martin Jansen)
Fixed a possible open_basedir/safe_mode bypass in the session extension identified by Grzegorz Stachowiak. (Ilia)
Upgraded bundled sqlite to version 3.6.22. (Ilia)
Upgraded bundled libmagic to version 5.03. (Mikko)
Upgraded bundled PCRE to version 8.00. (Scott)
Updated timezone database to version 2010.3. (Derick)
Improved LCG entropy. (Rasmus, Samy Kamkar)
Improved crypt support for edge cases (UFC compatibility). (Solar Designer, Joey, Pierre)
Changed gmp_strval() to use full range from 2 to 62, and -2 to -36. FR #50283 (David Soria Parra)
Changed "post_max_size" php.ini directive to allow unlimited post size by setting it to 0. (Rasmus)
Changed tidyNode class to disallow manual node creation. (Pierrick)
Removed automatic file descriptor unlocking happening on shutdown and/or stream close (on all OSes). (Tony, Ilia)
Added libpng 1.4.0 support. (Pierre)
Added support for DISABLE_AUTHENTICATOR for imap_open. (Pierre)
Added missing host validation for HTTP urls inside FILTER_VALIDATE_URL. (Ilia)
Added stream_resolve_include_path(). (Mikko)
Added INTERNALDATE support to imap_append. (nick at mailtrust dot com)
Added support for SHA-256 and SHA-512 to php's crypt. (Pierre)
Added realpath_cache_size() and realpath_cache_get() functions. (Stas)
Added FILTER_FLAG_STRIP_BACKTICK option to the filter extension. (Ilia)
Added protection for $_SESSION from interrupt corruption and improved "session.save_path" check. (Stas)
Added LIBXML_PARSEHUGE constant to override the maximum text size of a single text node when using libxml2.7.3+. (Kalle)
Added ReflectionMethod::setAccessible() for invoking non-public methods through the Reflection API. (Sebastian)
Added Collator::getSortKey for intl extension. (Stas)
Added support for CURLOPT_POSTREDIR. FR #49571. (Sriram Natarajan)
Added support for CURLOPT_CERTINFO. FR #49253. (Linus Nielsen Feltzing )
Added client-side server name indication support in openssl. (Arnaud)
Improved fix for bug #50006 (Segfault caused by uksort()). (Stas)
Fixed mysqlnd hang when queries exactly 16777214 bytes long are sent. (Andrey)
Fixed incorrect decoding of 5-byte BIT sequences in mysqlnd. (Andrey)
Fixed error_log() to be binary safe when using message_type 3. (Jani)
Fixed unnecessary invocation of setitimer when timeouts have been disabled. (Arvind Srinivasan)
Fixed memory leak in extension loading when an error occurs on Windows. (Pierre)
Fixed safe_mode validation inside tempnam() when the directory path does not end with a /). (Martin Jansen)
Fixed a possible open_basedir/safe_mode bypass in session extension identified by Grzegorz Stachowiak. (Ilia)
Fixed possible crash when a error/warning is raised during php startup. (Pierre)
Fixed possible bad behavior of rename on windows when used with symbolic links or invalid paths. (Pierre)
Fixed error output to stderr on Windows. (Pierre)
Fixed memory leaks in is_writable/readable/etc on Windows. (Pierre)
Fixed memory leaks in the ACL function on Windows. (Pierre)
Fixed memory leak in the realpath cache on Windows. (Pierre)
Fixed memory leak in zip_close. (Pierre)
Fixed crypt's blowfish sanity check of the "setting" string, to reject iteration counts encoded as 36 through 39. (Solar Designer, Joey, Pierre)
Fixed bug #51059 (crypt crashes when invalid salt are given). (Pierre)
Fixed bug #50952 (allow underscore _ in constants parsed in php.ini files). (Jani)
Fixed bug #50940 (Custom content-length set incorrectly in Apache SAPIs). (Brian France, Rasmus)
Fixed bug #50930 (Wrong date by php_date.c patch with ancient gcc/glibc versions). (Derick)
Fixed bug #50907 (X-PHP-Originating-Script adding two new lines in *NIX). (Ilia)
Fixed bug #50859 (build fails with openssl 1.0 due to md2 deprecation). (Ilia, hanno at hboeck dot de)
Fixed bug #50847 (strip_tags() removes all tags greater then 1023 bytes long). (Ilia)
Fixed bug #50829 (php.ini directive pdo_mysql.default_socket is ignored). (Ilia)
Fixed bug #50832 (HTTP fopen wrapper does not support passwordless HTTP authentication). (Jani)
Fixed bug #50787 (stream_set_write_buffer() has no effect on socket streams). (vnegrier at optilian dot com, Ilia)
Fixed bug #50761 (system.multiCall crashes in xmlrpc extension). (hiroaki dot kawai at gmail dot com, Ilia)
Fixed bug #50756 (CURLOPT_FTP_SKIP_PASV_IP does not exist). (Sriram)
Fixed bug #50732 (exec() adds single byte twice to $output array). (Ilia)
Fixed bug #50728 (All PDOExceptions hardcode 'code' property to 0). (Joey, Ilia)
Fixed bug #50723 (Bug in garbage collector causes crash). (Dmitry)
Fixed bug #50690 (putenv does not set ENV when the value is only one char). (Pierre)
Fixed bug #50680 (strtotime() does not support eighth ordinal number). (Ilia)
Fixed bug #50661 (DOMDocument::loadXML does not allow UTF-16). (Rob)
Fixed bug #50657 (copy() with an empty (zero-byte) HTTP source succeeds but returns false). (Ilia)
Fixed bug #50632 (filter_input() does not return default value if the variable does not exist). (Ilia)
Fixed bug #50576 (XML_OPTION_SKIP_TAGSTART option has no effect). (Pierrick)
Fixed bug #50558 (Broken object model when extending tidy). (Pierrick)
Fixed bug #50540 (Crash while running ldap_next_reference test cases). (Sriram)
Fixed bug #50519 (segfault in garbage collection when using set_error_handler and DomDocument). (Dmitry)
Fixed bug #50508 (compile failure: Conflicting HEADER type declarations). (Jani)
Fixed bug #50496 (Use of <stdbool.h> is valid only in a c99 compilation environment. (Sriram)
Fixed bug #50464 (declare encoding doesn't work within an included file). (Felipe)
Fixed bug #50458 (PDO::FETCH_FUNC fails with Closures). (Felipe, Pierrick)
Fixed bug #50445 (PDO-ODBC stored procedure call from Solaris 64-bit causes seg fault). (davbrown4 at yahoo dot com, Felipe)
Fixed bug #50416 (PROCEDURE db.myproc can't return a result set in the given context). (Andrey)
Fixed bug #50394 (Reference argument converted to value in __call). (Stas)
Fixed bug #50351 (performance regression handling objects, ten times slowerin 5.3 than in 5.2). (Dmitry)
Fixed bug #50392 (date_create_from_format() enforces 6 digits for 'u' format character). (Ilia)
Fixed bug #50345 (nanosleep not detected properly on some solaris versions). (Jani)
Fixed bug #50340 (php.ini parser does not allow spaces in ini keys). (Jani)
Fixed bug #50334 (crypt ignores sha512 prefix). (Pierre)
Fixed bug #50323 (Allow use of ; in values via ;; in PDO DSN). (Ilia, Pierrick)
Fixed bug #50285 (xmlrpc does not preserve keys in encoded indexed arrays). (Felipe)
Fixed bug #50282 (xmlrpc_encode_request() changes object into array in calling function). (Felipe)
Fixed bug #50267 (get_browser(null) does not use HTTP_USER_AGENT). (Jani)
Fixed bug #50266 (conflicting types for llabs). (Jani)
Fixed bug #50261 (Crash When Calling Parent Constructor with call_user_func()). (Dmitry)
Fixed bug #50255 (isset() and empty() silently casts array to object). (Felipe)
Fixed bug #50240 (pdo_mysql.default_socket in php.ini shouldn't used if it is empty). (foutrelis at gmail dot com, Ilia)
Fixed bug #50231 (Socket path passed using --with-mysql-sock is ignored when mysqlnd is enabled). (Jani)
Fixed bug #50219 (soap call Segmentation fault on a redirected url). (Pierrick)
Fixed bug #50212 (crash by ldap_get_option() with LDAP_OPT_NETWORK_TIMEOUT). (Ilia, shigeru_kitazaki at cybozu dot co dot jp)
Fixed bug #50209 (Compiling with libedit cannot find readline.h). (tcallawa at redhat dot com)
Fixed bug #50207 (segmentation fault when concatenating very large strings on 64bit linux). (Ilia)
Fixed bug #50196 (stream_copy_to_stream() produces warning when source is not file). (Stas)
Fixed bug #50195 (pg_copy_to() fails when table name contains schema. (Ilia)
Fixed bug #50185 (ldap_get_entries() return false instead of an empty array when there is no error). (Jani)
Fixed bug #50174 (Incorrectly matched docComment). (Felipe)
Fixed bug #50168 (FastCGI fails with wrong error on HEAD request to non-existant file). (Dmitry)
Fixed bug #50162 (Memory leak when fetching timestamp column from Oracle database). (Felipe)
Fixed bug #50159 (wrong working directory in symlinked files). (Dmitry)
Fixed bug #50158 (FILTER_VALIDATE_EMAIL fails with valid addresses containing = or ?). (Pierrick)
Fixed bug #50152 (ReflectionClass::hasProperty behaves like isset() not property_exists). (Felipe)
Fixed bug #50146 (property_exists: Closure object cannot have properties). (Felipe)
Fixed bug #50145 (crash while running bug35634.phpt). (Felipe)
Fixed bug #50140 (With default compilation option, php symbols are unresolved for nsapi). (Uwe Schindler)
Fixed bug #50087 (NSAPI performance improvements). (Uwe Schindler)
Fixed bug #50073 (parse_url() incorrect when ? in fragment). (Ilia)
Fixed bug #50023 (pdo_mysql doesn't use PHP_MYSQL_UNIX_SOCK_ADDR). (Ilia)
Fixed bug #50005 (Throwing through Reflection modified Exception object makes segmentation fault). (Felipe)
Fixed bug #49990 (SNMP3 warning message about security level printed twice). (Jani)
Fixed bug #49985 (pdo_pgsql prepare() re-use previous aborted transaction). (ben dot pineau at gmail dot com, Ilia, Matteo)
Fixed bug #49938 (Phar::isBuffering() returns inverted value). (Greg)
Fixed bug #49936 (crash with ftp stream in php_stream_context_get_option()). (Pierrick)
Fixed bug #49921 (Curl post upload functions changed). (Ilia)
Fixed bug #49866 (Making reference on string offsets crashes PHP). (Dmitry)
Fixed bug #49855 (import_request_variables() always returns NULL). (Ilia, sjoerd at php dot net)
Fixed bug #49851, #50451 (http wrapper breaks on 1024 char long headers). (Ilia)
Fixed bug #49800 (SimpleXML allow (un)serialize() calls without warning). (Ilia, wmeler at wp-sa dot pl)
Fixed bug #49719 (ReflectionClass::hasProperty returns true for a private property in base class). (Felipe)
Fixed bug #49677 (ini parser crashes with apache2 and using ${something} ini variables). (Jani)
Fixed bug #49660 (libxml 2.7.3+ limits text nodes to 10MB). (Felipe)
Fixed bug #49647 (DOMUserData does not exist). (Rob)
Fixed bug #49600 (imageTTFText text shifted right). (Takeshi Abe)
Fixed bug #49585 (date_format buffer not long enough for >4 digit years). (Derick, Adam)
Fixed bug #49560 (oci8: using LOBs causes slow PHP shutdown). (Oracle Corp.)
Fixed bug #49521 (PDO fetchObject sets values before calling constructor). (Pierrick)
Fixed bug #49472 (Constants defined in Interfaces can be overridden). (Felipe)
Fixed bug #49463 (setAttributeNS fails setting default namespace). (Rob)
Fixed bug #49244 (Floating point NaN cause garbage characters). (Sjoerd)
Fixed bug #49224 (Compile error due to old DNS functions on AIX systems). (Scott)
Fixed bug #49174 (crash when extending PDOStatement and trying to set queryString property). (Felipe)
Fixed bug #48811 (Directives in PATH section do not get applied to subdirectories). (Patch by: ct at swin dot edu dot au)
Fixed bug #48590 (SoapClient does not honor max_redirects). (Sriram)
Fixed bug #48190 (Content-type parameter "boundary" is not case-insensitive in HTTP uploads). (Ilia)
Fixed bug #47848 (importNode doesn't preserve attribute namespaces). (Rob)
Fixed bug #47409 (extract() problem with array containing word "this"). (Ilia, chrisstocktonaz at gmail dot com)
Fixed bug #47281 ($php_errormsg is limited in size of characters) (Oracle Corp.)
Fixed bug #46478 (htmlentities() uses obsolete mapping table for character entity references). (Moriyoshi)
Fixed bug #45599 (strip_tags() truncates rest of string with invalid attribute). (Ilia, hradtke)
Fixed bug #45120 (PDOStatement->execute() returns true then false for same statement). (Pierrick)
Fixed bug #44827 (define() allows :: in constant names). (Ilia)
Fixed bug #44098 (imap_utf8() returns only capital letters). (steffen at dislabs dot de, Pierre)
Fixed bug #34852 (Failure in odbc_exec() using oracle-supplied odbc driver). (tim dot tassonis at trivadis dot com)

Свернуть

[Distructor]

PHP 5.3.3 22 июля 2010 г.

Эта версия ориентирована на повышение стабильности и безопасности ветки PHP 5.3.x. Исправлено более 100 ошибок, некоторые из которых связанны с безопасностью. Всем пользователям рекомендуется обновиться до этой версии.

ChangeLog

Backwards incompatible change:

• Methods with the same name as the last element of a namespaced class name will no longer be treated as constructor. This change doesn't affect non-namespaced classes.

  Код: Выделить всё

  <?php
  namespace Foo;
  class Bar {
      public function Bar() {
          // treated as constructor in PHP 5.3.0-5.3.2
          // treated as regular method in PHP 5.3.3
      }
  }
  ?>

  There is no impact on migration from 5.2.x because namespaces were only introduced in PHP 5.3.

Security Enhancements and Fixes in PHP 5.3.3:

• Rewrote var_export() to use smart_str rather than output buffering, prevents data disclosure if a fatal error occurs (CVE-2010-2531).
  Fixed a possible resource destruction issues in shm_put_var().
  Fixed a possible information leak because of interruption of XOR operator.
  Fixed a possible memory corruption because of unexpected call-time pass by refernce and following memory clobbering through callbacks.
  Fixed a possible memory corruption in ArrayObject::uasort().
  Fixed a possible memory corruption in parse_str().
  Fixed a possible memory corruption in pack().
  Fixed a possible memory corruption in substr_replace().
  Fixed a possible memory corruption in addcslashes().
  Fixed a possible stack exhaustion inside fnmatch().
  Fixed a possible dechunking filter buffer overflow.
  Fixed a possible arbitrary memory access inside sqlite extension.
  Fixed string format validation inside phar extension.
  Fixed handling of session variable serialization on certain prefix characters.
  Fixed a NULL pointer dereference when processing invalid XML-RPC requests (Fixes CVE-2010-0397, bug #51288).
  Fixed SplObjectStorage unserialization problems (CVE-2010-2225).
  Fixed possible buffer overflows in mysqlnd_list_fields, mysqlnd_change_user.
  Fixed possible buffer overflows when handling error packets in mysqlnd.

Key enhancements in PHP 5.3.3 include:

• Upgraded bundled sqlite to version 3.6.23.1.
  Upgraded bundled PCRE to version 8.02.
  Added FastCGI Process Manager (FPM) SAPI.
  Added stream filter support to mcrypt extension.
  Added full_special_chars filter to ext/filter.
  Fixed a possible crash because of recursive GC invocation.
  Fixed bug #52238 (Crash when an Exception occured in iterator_to_array).
  Fixed bug #52041 (Memory leak when writing on uninitialized variable returned from function).
  Fixed bug #52060 (Memory leak when passing a closure to method_exists()).
  Fixed bug #52001 (Memory allocation problems after using variable variables).
  Fixed bug #51723 (Content-length header is limited to 32bit integer with Apache2 on Windows).
  Fixed bug #48930 (__COMPILER_HALT_OFFSET__ incorrect in PHP >= 5.3).

For a full list of changes in PHP 5.3.3, see the ChangeLog.

Свернуть

[Distructor]

PHP 5.2.16 16 декабря 2010 г.

Команда разработчиков анонсировала внеочередное обновление для php 5.2 — php 5.2.16. Это обновление исправляет ошибки #53517 (segfault в pgsql_stmt_execute() когда сервер postgres остановлен) и #53516 (ошибка в обработке директивы open_basedir). Обновление настоятельно рекомендовано всем, кто использует open_basedir

Для веб мастеров главное то, что с этим обновлением прекращается поддержка ветки 5.2.x. Переход на новую версию 5.3.4 для некоторых пользователей закончится различными варнингами об устаревании функций и, как следствие, неработоспособностью некоторых элементов или всего сайта — будьте осторожны и тестируйте заранее свои сайты перед обновлением, например, на виртуальных машинах.

Полный список изменений в PHP 5.2.16 - http://www.php.net/ChangeLog-5.php#5.2.16.

Официальные инструкции по переходу на ветку 5.3 есть в http://ru2.php.net/migration53

[Distructor]

PHP 5.3.4 10 декабря 2010 г.

ChangeLog

Security Enhancements and Fixes in PHP 5.3.4:

• Fixed crash in zip extract method (possible CWE-170).
  Paths with NULL in them (foo\0bar.txt) are now considered as invalid (CVE-2006-7243).
  Fixed a possible double free in imap extension (Identified by Mateusz Kocielski). (CVE-2010-4150).
  Fixed NULL pointer dereference in ZipArchive::getArchiveComment. (CVE-2010-3709).
  Fixed possible flaw in open_basedir (CVE-2010-3436).
  Fixed MOPS-2010-24, fix string validation. (CVE-2010-2950).
  Fixed symbolic resolution support when the target is a DFS share.
  Fixed bug #52929 (Segfault in filter_var with FILTER_VALIDATE_EMAIL with large amount of data) (CVE-2010-3710).

Key Bug Fixes in PHP 5.3.4 include:

• Added stat support for zip stream.
  Added follow_location (enabled by default) option for the http stream support.
  Added a 3rd parameter to get_html_translation_table. It now takes a charset hint, like htmlentities et al.
  Implemented FR #52348, added new constant ZEND_MULTIBYTE to detect zend multibyte at runtime.
  Multiple improvements to the FPM SAPI.
  Over 100 other bug fixes.

Свернуть

Для пользователей, который обновляются с PHP 5.2 доступно руководство по миграции, детально описывающее процесс переноса приложений на PHP 5.3 - http://ru2.php.net/migration53

Полный список изменений в PHP 5.3.4 - http://www.php.net/ChangeLog-5.php#5.3.4

[Distructor]

PHP 5.2.17 и PHP 5.3.5 06 января 2011 г.

Обе версии включают в себя единственное критическое исправление:
— Fixed bug #53632 (PHP hangs on numeric value 2.2250738585072011e-308). (CVE-2010-4645)

В php обнаружен тривиальный код, приводящий к зависанию интерпретатора: бесконечному циклу и пожиранию ресурсов процессора.
<?php $d = 2.2250738585072011e-308; ?>
Попытки обработать это в виде строки через floatval (т.е. через любой ввод пользователя) также приводят к зависанию.

На тру-64 битах не воспроизводится.

[Distructor]

PHP 5.3.6 17 марта 2011 г.

Этот релиз нацелен на улучшение стабильности ветки PHP 5.3.x.
Было исправлено более 60 багов, некоторые из которых связаны с безопасностью.

Подробное описание

Security Enhancements and Fixes in PHP 5.3.6:

• * Enforce security in the fastcgi protocol parsing with fpm SAPI.
  * Fixed bug #54247 (format-string vulnerability on Phar). (CVE-2011-1153)
  * Fixed bug #54193 (Integer overflow in shmop_read()). (CVE-2011-1092)
  * Fixed bug #54055 (buffer overrun with high values for precision ini setting).
  * Fixed bug #54002 (crash on crafted tag in exif). (CVE-2011-0708)
  * Fixed bug #53885 (ZipArchive segfault with FL_UNCHANGED on empty archive). (CVE-2011-0421)

Key enhancements in PHP 5.3.6 include:

• * Upgraded bundled Sqlite3 to version 3.7.4.
  * Upgraded bundled PCRE to version 8.11.
  * Added ability to connect to HTTPS sites through proxy with basic authentication using stream_context/http/header/Proxy-Authorization.
  * Added options to debug backtrace functions.
  * Changed default value of ini directive serialize_precision from 100 to 17.
  * Fixed Bug #53971 (isset() and empty() produce apparently spurious runtime error).
  * Fixed Bug #53958 (Closures can't 'use' shared variables by value and by reference).
  * Fixed bug #53577 (Regression introduced in 5.3.4 in open_basedir with a trailing forward slash).
  * Over 60 other bug fixes.

Полный список изменений в PHP 5.3.6 можно посмотреть в http://php.net/ChangeLog-5.php#5.3.6

Свернуть

Еще раз напоминаем что ветка PHP 5.2 больше не поддерживается.
Всем пользователям крайне рекомендуется обновиться до версии 5.3.6.

[Distructor]

PHP 5.3.7 18 августа 2011 г.

Этот релиз нацелен на улучшение стабильности ветки PHP 5.3.x.
Было исправлено более 90 багов, некоторые из которых связаны с безопасностью.

Подробное описание

Security Enhancements and Fixes in PHP 5.3.7:

• Updated crypt_blowfish to 1.2. (CVE-2011-2483)
  Fixed crash in error_log(). Reported by Mateusz Kocielski
  Fixed buffer overflow on overlog salt in crypt().
  Fixed bug #54939 (File path injection vulnerability in RFC1867 File upload filename). Reported by Krzysztof Kotowicz. (CVE-2011-2202)
  Fixed stack buffer overflow in socket_connect(). (CVE-2011-1938)
  Fixed bug #54238 (use-after-free in substr_replace()). (CVE-2011-1148)

Key enhancements in PHP 5.3.7 include:

• Upgraded bundled Sqlite3 to version 3.7.7.1
  Upgraded bundled PCRE to version 8.12
  Fixed bug #54910 (Crash when calling call_user_func with unknown function name)
  Fixed bug #54585 (track_errors causes segfault)
  Fixed bug #54262 (Crash when assigning value to a dimension in a non-array)
  Fixed a crash inside dtor for error handling
  Fixed bug #55339 (Segfault with allow_call_time_pass_reference = Off)
  Fixed bug #54935 php_win_err can lead to crash
  Fixed bug #54332 (Crash in zend_mm_check_ptr // Heap corruption)
  Fixed bug #54305 (Crash in gc_remove_zval_from_buffer)
  Fixed bug #54580 (get_browser() segmentation fault when browscap ini directive is set through php_admin_value)
  Fixed bug #54529 (SAPI crashes on apache_config.c:197)
  Fixed bug #54283 (new DatePeriod(NULL) causes crash).
  Fixed bug #54269 (Short exception message buffer causes crash)
  Fixed Bug #54221 (mysqli::get_warnings segfault when used in multi queries)
  Fixed bug #54395 (Phar::mount() crashes when calling with wrong parameters)
  Fixed bug #54384 (Dual iterators, GlobIterator, SplFileObject and SplTempFileObject crash when user-space classes don't call the parent constructor)
  Fixed bug #54292 (Wrong parameter causes crash in SplFileObject::__construct())
  Fixed bug #54291 (Crash iterating DirectoryIterator for dir name starting with \0)
  Fixed bug #54281 (Crash in non-initialized RecursiveIteratorIterator)
  Fixed bug #54623 (Segfault when writing to a persistent socket after closing a copy of the socket)
  Fixed bug #54681 (addGlob() crashes on invalid flags)
  Over 80 other bug fixes.

Свернуть

Пользователям Windows

Больше не будут собираться сборки под Visual Studio C++ 6 (VC6). Не возможно поддерживать высокое качество и безопасность сборок PHP под Windows с использованием этого неподдерживаемого компилятора.

Для использования Apache SAPIs (php5_apache2_2.dll), проверьте что вы используете версию Apache скомпилированную в Visual Studio C++ 9. Разработчики PHP рекомендуют обновить Apache до перекомпилированной версии предложенной на сайте ApacheLounge. Другие SAPI (CLI, FastCGI через mod_fcgi, FastCGI для IIS или другие FastCGI совместимые сервера) не требуют изменений.
Расширения PHP от сторонних разработчиков должны быть перекомпилированы их создателями для совместимости со сборками собранными на компиляторе Visual Studio C++9.

Свернуть

22 Августа анонсирован Upgrade Warning который не рекомендует установку/апгрейд этой версии.

Подробности

Вкратце: при использовании функции crypt() для хэшей MD5 выдаётся только соль.
Получается вот такая очень неприятная штука:

printf("MD5: %s\n", crypt('password', '$1$U7AjYB.O$'));

Должно быть:
----------------
MD5: $1$U7AjYB.O$L1N7ux7twaMIMw0En8UUR1

А получается только соль:
--------------
MD5: $1$U7AjYB.O

Баг работает только для MD5 (алгортим по-умолчанию в php), DES и BLOWFISH не затронуты.

Разработчики обещают выпустить версию 5.3.8 с багфиксом в течение нескольких дней.

Свернуть

[Distructor]

PHP 5.3.8 23 августа 2011 г.

Исправлен баг #55439, из за которого функция crypt(), для md5 хэшей возвращала только salt.
Кроме этого, был исправлен баг #55283 из за которого mysqlnd SSL соединения подвешивались.

[Distructor]

PHP 5.3.9 10 января 2012 г.

Этот релиз нацелен на улучшение стабильности ветки PHP 5.3.x.
Было исправлено более 90 багов, некоторые из которых связаны с безопасностью.

- Добавлена переменная max_input_vars для предотвращения атак основанных на коллизии хешей
- Исправлен баг #60150 с целочисленным переполнением при парсинге заголовков exif
- Исправлен баг #55475 is_a теперь вызывает autoloader, через третий опциональный параметр для is_a и is_subclass_of
- Исправлен баг #55609 mysqlnd больше не собирается динамически(shared)
- Много исправлений и новых фич по FPM SAPI

Полный список изменений

[Distructor]

PHP 5.4.0 1 марта 2012 г.

Этот релиз включает в себя много новых возможностей и фиксов. Среди нового стоит отметить:
- удалены register_globals, register_long_arrays, import_request_variables(),
- удалены функции session_is_registered(), session_register() и session_unregister()
- короткий синтаксис массивов
- поддержку traits
- встроенный веб-сервер для тестирования скриптов
- вернули $this/self в анонимные функции
- добавили флаги в json_encode. Особо интересны JSON_PRETTY_PRINT, JSON_UNESCAPED_UNICODE
- добавили JsonSerializable интерфейс
- добавили флаги мультикаста у сокетов
- debug_backtrace теперь можно ограничить
- числа можно записывать в бинарном виде 0b1010110. Идеально для битовых масок.
- добавлен callable type hint для функций
- (new foo)->bar()
- func()[3]
- поддержка DTrace

Полный список изменений