PHP ออกเวอร์ชั่น 8.5 นับเป็นการอัพเดตใหญ่ตามรอบประจำปี โดยมีฟีเจอร์ปรับปรุงหลายประการ

Jordy Zomer นักวิจัยความปลอดภัย รายงานถึงช่องโหว่ในฟังก์ชั่น filter_var ของภาษา PHP ที่มีช่องโหว่ทำให้การกรองข้อมูลตอบว่ากรองสำเร็จแม้ที่จริงไม่ได้กรองก็ตาม

Zomer ระบุว่าแจ้งทีมงาน PHP ไปแล้วหลายครั้งแต่ไม่ได้รับการตอบรับ แม้จะให้แพตช์แก้ช่องโหว่ไปด้วย จึงตัดสินใจเปิดเผยช่องโหว่นี้ต่อสาธารณะ (เขาไม่ได้ให้ timeline ว่าติดต่อไปยังทีมงานช่วงเวลาใดบ้าง) ทางด้านโครงการ PHP เองช่วงหลังประสบปัญหานักพัฒนาหลักลาออก อาจจะกระทบต่อการตอบรับรายงานของนักวิจัยภายนอก

PHP ออกรุ่น 8.1.0 หลังจาก 8.0.0 หนึ่งปีพอดี โดยมีฟีเจอร์ใหม่ๆ หลายอย่าง เช่น

กลุ่มบริษัทไอที 10 บริษัทประกาศร่วมก่อตั้ง PHP Foundation องค์กรกลางสำหรับดูแลภาษา PHP เต็มเวลา หลังจาก Nikita Popov นักพัฒนาหลักของ PHP ที่ทำงานกับ JetBrains ลาออกจากบริษัทและหันไปทำงานในโครงการ LLVM เป็นหลัก

บริษัทที่ร่วมก่อตั้งมูลนิธิครั้งนี้ได้แก่ Automattic (Wordpress), Laravel, Acquia (Drupal), Zend, Private Packagist, Symfony, Craft CMS, Tideways, PrestaShop, และ JetBrains โดยคาดว่าจะระดมทุนเป็นงบประมาณสำหรับนักพัฒนาหลักได้ปีละ 300,000 ดอลลาร์ เบื้องต้น JetBrains ประกาศว่าจะสนับสนุนปีละ 100,000 ดอลลาร์

โครงการ PHP ถูกแฮกเซิร์ฟเวอร์ Git ส่ง commit เข้ามาในระบบได้สองครั้ง โดยโค้ดที่คนร้ายยิงเข้ามาเป็นโค้ดที่ตรวจสอบค่า User Agent จาก HTTP header หากพบว่าขึ้นต้นด้วยคำว่า "zerodium" ก็จะรันโค้ดด้านในสตริง

ตอนนี้ทีมงาน PHP ยังสอบสวนอยู่ว่าโค้ดนี้ถูกส่งเข้าเซิร์ฟเวอร์ได้อย่างไร แต่ทีมงานก็ตัดสินใจว่าไม่สามารถดูแลเซิร์ฟเวอร์ Git เองได้อีกต่อไปแล้ว และตัดสินใจย้าย repository ไปใช้ GitHub เป็นหลักแทน

เดิม PHP ใช้ GitHub เป็น repository สำรองเพื่อสำเนาข้อมูลจากเซิร์ฟเวอร์ของตัวเองเท่านั้น การย้ายเซิร์ฟเวอร์มาเป็น GitHub ครั้งนี้ทำให้นักพัฒนาบางส่วนต้องขอสิทธิ์ commit กันใหม่

PHP ออกรุ่น 8.0 ตัวจริง หลังจากเริ่มออก Alpha 1 เมื่อกลางปีที่ผ่านมา โดยมีฟีเจอร์สำคัญๆ ที่ทำให้การพัฒนาเปลี่ยนไปหลายอย่าง เช่น

PHP ปล่อยไบนารี PHP 8.0 Alpha 1 เป็นรุ่นทดสอบแรกตามตารางการพัฒนา ที่จะออกทั้งหมด 11 เวอร์ชั่นก่อนออกตัวจริง

PHP 8.0 ยังอยู่ระหว่างการพูดคุยกันว่าฟีเจอร์ใดจะรวมเข้าไว้ในเวอร์ชั่นนี้บ้าง โดยมีกำหนดปิดรับฟีเจอร์ใหม่วันที่ 4 สิงหาคมนี้ ระหว่างนี้ก็มีฟีเจอร์จำนวนหนึ่งที่จะได้เข้ามาในเวอร์ชั่นนี้แน่นอน เช่น

PHP รายงานช่องโหว่ CVE-2019-11043 ในโมดูล FPM ที่ตรวจสอบค่าในตัวแปร environment ไม่ดีพอ ทำให้เมื่อคอนฟิกใน nginx บางรูปแบบแล้วทำให้แฮกเกอร์ยิง URL ที่ออกแบบมาเฉพาะทำให้รันโค้ดในเซิร์ฟเวอร์ได้

ทาง PHP ออกแพตช์ รุ่น 7.3.11 และ 7.2.24 มาแก้ไขช่องโหว่นี้เรียบร้อยแล้ว หรือในกรณีที่ยังแพตช์ไม่ได้ สามารถบล็อก "%0a" ใน URL ซึ่งเป็นการเข้ารหัสอักขระ newline