PHP 8.5.7发布 修复安全及稳定性

PHP的开发团队又给我们送来了福音，PHP 8.5.7版本现已正式发布。这次更新主要是一个漏洞修复版本，官方强烈建议所有正在使用PHP 8.5的用户都尽快升级到这个版本，以确保你的网站和应用能够稳定、安全地运行。

重要的安全与稳定性修复

这次PHP 8.5.7的发布，虽然没有带来什么激动人心的新功能，但它在修复漏洞方面做足了功课。对于任何一个运行在PHP环境下的网站，尤其是像WordPress这种大量依赖PHP的平台，这些修复都至关重要。

具体来看，这次更新主要解决了以下几个关键问题：

• CLI方面：修复了GH-21901号bug，它涉及getopt()函数中可选值过时的问题。这对于命令行接口的稳定性有直接影响。
• Date模块：修复了GH-18422号bug，解决了php_date_llabs函数中的整数溢出问题，这能避免日期计算可能出现的异常。
• DOM模块：解决了GH-22077号bug，修复了自定义XPath函数中可能存在的UAF（Use-After-Free）漏洞，这是一个潜在的安全隐患。
• Opcache优化：Opcache模块一直致力于提升PHP的执行效率，这次更新修复了多项与JIT（Just-In-Time）编译相关的崩溃问题，包括：
  • 在观察到的用户函数调用期间，处理VM中断时跟踪JIT崩溃的问题。
  • GH-21746号bug导致的跟踪JIT时出现的Segfault（段错误）。
  • GH-22004号bug导致的ext/opcache/jit/zend_jit_trace.c中的断言失败。
  • 当VM辅助程序处理VM中断时，tailcall VM崩溃的问题。这些修复将显著提升Opcache的稳定性和可靠性。
• OpenSSL兼容性：解决了与OpenSSL 4.0的兼容性问题，这确保了PHP在与最新加密库集成时的顺畅运行。
• Standard库：修复了GH-21689号bug，解决了version_compare()函数错误地处理以点号结尾的版本号的问题。
• 类型系统安全：这次更新中包含了两个重要的安全漏洞修复，它们都与uriparser库有关：
  • 修复了CVE-2026-44927，这个问题存在于uriparser 1.0.2之前的版本中，多处指针差值被错误地截断为int类型。这可能导致内存访问错误或信息泄露。
  • 修复了CVE-2026-44928，同样在uriparser 1.0.2之前的版本中，EqualsUri函数族可能会错误地将两个不相等的URI分类为相等。这可能导致安全绕过或其他逻辑错误。

搬主题提醒大家，尤其是那些还在观望或者认为小版本更新不重要的用户，一定要重视起来。这些看似微小的漏洞修复，很多时候都可能成为潜在攻击者的入口。特别是像CVE-2026-44927和CVE-2026-44928这样的安全漏洞，及时更新是防范风险最直接有效的方法。

这次PHP 8.5.7的发布，虽然没有带来眼花缭乱的新功能，但它扎扎实实地提升了PHP环境的安全性与稳定性。对于网站运营者和开发者来说，保持PHP版本常新，是维护网站健康运转的基本功。建议大家尽快查阅官方更新日志，并根据实际情况安排升级。

更多详细信息，你可以直接访问官方的更新日志页面：https://www.php.net/ChangeLog-8.php#8.5.7