已在 php 中识别并修复了多种漏洞：

5.3.9 之前的 PHP 中的 PDORow 实现未正确地与会话功能交互，这样允许远程攻击者通过构建的使用 PDO 驱动程序进行提取然后调用 session_start 函数的应用程序来造成拒绝服务（应用程序崩溃），这一点已由 Apache HTTP Server 的崩溃证实 (CVE-2012-0788)。注意：php-5.3.10 修复了此问题

PHP 5.3.9 中 php_variables.c 的 php_register_variable_ex 函数允许远程攻击者通过包含大量变量的请求来执行任意代码，此问题与数组变量的错误处理有关。注意：此漏洞是由于对 CVE-2011-4885 的修复不正确导致的 (CVE-2012-0830)。注意：php-5.3.10 修复了此问题

5.3.10 之前的 PHP 在环境变量的导入期间未正确执行 magic_quotes_gpc 指令的临时变更，这样使远程攻击者更容易通过构建的请求来发动 SQL 注入攻击，此问题与 main/php_variables.c、sapi/cgi/cgi_main.c 和 sapi/fpm/fpm/fpm_main.c 有关 (CVE-2012-0831)。

对上传名称验证不充分导致损坏 $_FILES 索引 (CVE-2012-1172)。

更新后的 php 程序包已升级为 5.3.11，不易受这些问题影响。

启用了 suhosin.cookie.encrypt 和 suhosin.multiheader 时，PHP 中 0.9.33 之前的 Suhosin 扩展中透明 cookie 加密功能的 suhosin_encrypt_single_cookie 函数存在基于堆栈的缓冲区溢出，可能允许远程攻击者通过 Set-Cookie HTTP 标头中使用的长字符串来执行任意代码 (CVE-2012-0807)。php-suhosin 程序包已升级到 0.9.33 版本，不受此问题的影响。

此外，某些 PECL 扩展已升级到各自的最新版本，解决了各种上游缺陷。

检测

Mandriva Linux 安全公告：php (MDVSA-2012:065)

high Nessus 插件 ID 58890

未找到变更日志