Доступны корректирующие выпуски языка программирования PHP 5.6.8, 5.5.24 и 5.4.40, в которых устранены три уязвимости и исправлено около 40 ошибок. Отдельного упоминая заслуживает устранение уязвимостей: в 5.6.8 и 5.5.24 устранены две уязвимости (CVE-2015-1351 - обращение к освобождённой памяти в OPCache и CVE-2015-1352 - разыменование указателя NUL в дополнении для работы с PostgreSQL), а в 5.4.40 - четыре (CVE-2014-9709 - переполнение буфера в GD, CVE-2015-2301, CVE-2015-2783 - уязвимости в Phar, CVE-2015-1352 - уязвимость в дополнении postgresql).
Кроме того, в списке изменений можно заметить несколько связанных с безопасностью исправлений, которые явно не помечены как уязвимости:
- ошибка в apache2handler для apache 2.4, которая может потенциально привести к удалённому выполнению кода;
- возможность переопределения параметров PHP_INI_SYSTEM в настройках для отдельных директорий;
- дополнительные исправления для уязвимости в exception::getTraceAsString;
- инициирование краха через php_stream_url_wrap_http_ex();
- отсутствие проверок на нулевые байты в файловом пути во многих расширениях.
- Разыменование указателя NULL в Ereg;
- Переполнение буфера в расширении Phar (CVE-2015-2783);
Из не связанных с безопасностью исправлений можно отметить крах php при некоторых условиях использования __get() и оператора "++", сбой работы parse_url для некорректных URL, вывод через serialize некорректных данных для нестроковых значений, крах при использовании генератора в комбинации с итератором; поддержка HTTP2 в дополнении curl; добавление проверки RAND_egd для обеспечения сборки с LibreSSL;
