PHP 8.5.6 现已发布，这是一个安全更新版本。建议所有 PHP 8.5 用户升级到此版本。

• Core：
  • 修复了错误GH-19983（fibers、generators 和 destructors 的 GC 断言失败）。
  • 修复了 Windows+Clang 系统中 zend_ce_closure 前向声明的 ZEND_API 不匹配问题。
  • 修复了错误GH-21504（ZEND_EXT_STMT op1 的 RC 处理不正确）。
  • 修复了错误GH-21478（将属性操作转发到已初始化的 lazy 代理的真实实例）。
  • 修复了错误GH-21605（缺少 Countable::count() 的 addref）。
  • 修复了错误GH-21699（当错误处理程序抛出异常时，在解析 self::/parent::/static:: callables 时 shutdown_executor 中的断言失败）。
  • 修复了错误GH-21603（缺少 __unset 的 addref）。
  • 修复了错误GH-21760（类常量名称与枚举大小写冲突的特性导致 SEGV）。
• CLI：
  • 修复了错误GH-21754（--rf 命令行选项与方法一起触发 ext/reflection 弃用警告）。
• Curl：
  • 在 Windows 系统上添加对 brotli 和 zstd 的支持。
• DOM：
  • 修复了GHSA-4jhr-8w89-j733和GH-21566（在调用 setAttributeNS() 后，Dom\XMLDocument::C14N() 会生成重复的 xmlns 声明）。（CVE-2026-7263）
• FPM：
  • 修复了GHSA-7qg2-v9fj-4mwv（status endpoint 中的 XSS 漏洞）。（CVE-2026-6735）
• Iconv：
  • 修复了错误GH-17399（退出时 iconv 内存泄漏）。
• Lexbor：
  • 升级到 lexbor v2.7.0。
• MBString：
  • 修复了GHSA-wm6j-2649-pv75（php_mb_check_encoding() 中通过 mb_ereg_search_init() 调用的空指针解引用漏洞）。（CVE-2026-7259）
  • 修复了GHSA-74r9-qxhc-fx53（mbfl_name2encoding_ex() 中的越界访问漏洞）。（CVE-2026-6104）
• Opcache：
  • 修复了错误GH-21158（JIT：zend_jit_use_reg 中的断言 jit->ra[var].flags & (1<<0) 失败）。
  • 修复了错误GH-21593（JIT JMPNZ 智能分支功能损坏）。
  • 修复了错误GH-21460（COND 优化回归）。
  • 修复了 zend_jit_trace() 中 zend_try 块返回错误的问题。
• OpenSSL：
  • 修复 openssl_pbkdf2() 中的内存泄漏回归问题。
  • 修复了一系列内存泄漏和极端情况下的崩溃问题。
• PDO_Firebird：
  • 修复GHSA-w476-322c-wpvm（通过带引号字符串中的 NUL 字节进行 SQL 注入）。（CVE-2025-14179）
• PDO_PGSQL：
  • 修复了错误GH-21683（当 ATTR_PREFETCH=0 时，pdo_pgsql 在空结果集上抛出异常）。
• Phar：
  • 恢复 phar_intercept_functions_shutdown 中的 is_link 处理程序。
  • 修复了错误GH-21797（phar：当 SAPI 环境中不存在 SCRIPT_NAME 时，Phar::webPhar() 中出现 NULL 解引用）。
  • 修复 Phar::offsetGet() 中的内存泄漏。
  • 修复 phar_add_file() 中的内存泄漏。
  • 修复了错误GH-21799（phar：从 phar_stream_close 传播 phar_stream_flush 返回值）。
  • 修复 md_ctx 无效时 phar_verify_signature() 中的内存泄漏。
• Random：
  • 修复了错误GH-21731（Random\Engine\Xoshiro256StarStar::__unserialize() 接受 all-zero 状态）。
• Session：
  • 修复了会话 GC 回调返回引用计数值时出现的内存泄漏问题。
• SOAP：
  • 修复了GHSA-85c2-q967-79q5（Apache Map 中过时的 SOAP_GLOBAL(ref_map) 指针）。（CVE-2026-6722）
  • 修复了GHSA-m33r-qmcv-p97q（SOAP_PERSISTENCE_SESSION 头部解析失败后 Use-after-free 漏洞）。（CVE-2026-7261）
  • 修复了GHSA-hmxp-6pc4-f3vv漏洞（Apache 映射值空值检查失效）。（CVE-2026-7262）
• SPL：
  • 修复了错误GH-21499（RecursiveArrayIterator getChildren UAF after parent free）。
  • 修复 SplObjectStorage 中的并发迭代和删除问题。
• SQLite3：
  • 修复了空闲列表比较器指针类型错误的问题。
• Standard：
  • 修复了GHSA-96wq-48vp-hh57（字符数组偏移量的有符号整数溢出漏洞）。（CVE-2026-7568）
  • 修复了GHSA-m8rr-4c36-8gq4（始终将 unsigned char 传递给 ctype.h 函数）。（CVE-2026-7258）
• Streams：
  • 修复了错误GH-21468（使用 https URL 和设置代理时 file_get_contents 出现段错误）。
• URI：
  • 修复了 CVE-2026-42371（1.0.1 之前的 uriparser 版本在文本范围比较中存在数值截断问题）。（CVE-2026-42371）

更多详情可查看：https://www.php.net/ChangeLog-8.php#8.5.6