PHP 8.3.35 更新日志
PHP 8.3.35 于2026年9月24日发布。
- Filter:修复 FILTER_SANITIZE_ENCODED 未编码 0xFF 的问题。
- FPM:修复 listen.allowed_clients 地址比较不完整导致的 IPv6 访问控制绕过(CVE-2026-91768)。
- MySQLnd:修复协议数据包的多处越界读取(CVE-2025-1218)。
- OpenSSL:修复 SAN 不匹配后回退到 CN 的主机名验证问题(CVE-2026-91769),以及恶意通配符 CN 引发的堆缓冲区溢出(CVE-2026-91767)。
- Phar:修复 TAR 数字字段整数溢出导致的归档条目注入(CVE-2026-6103)。
- SOAP:修复服务端清理 XML 节点时的无限递归(CVE-2026-91765),以及 HTTP 解析中的整数溢出和缓冲区溢出(CVE-2025-14181)。
- Standard:修复 convert.* 流过滤器的越界读取(CVE-2026-92842)、HTTP 重定向跨源凭据泄漏(CVE-2026-91766)及空 Location 响应头引发的越界读取(CVE-2026-93682)。
- Windows:修复文件和流 I/O 前未拒绝保留设备名称的问题(CVE-2026-17545)。
