Auf Grund der aktuellen Sicherheitslecks in den veralteten PHP-Versionen ist es den Angreifern möglich, nicht nur Denial-of-Service-Angriffe gegen die verwundbare Systeme zu starten. Auch das Einschleusen von bösartiger Software macht die alten PHP-Versionen verwundbar.
Mit den neuen Versionen rüsten die Entwickler eine fehlende Überprüfung des safe_mode/open_basedir in den Funktionen error_log(), file_exists(), imap_open() und imap_reopen() nach.
Weiterhin beheben sie Überläufe in den Funktionen str_repeat() und wordwrap() auf 64-Bit-Systemen. In allen Versionen kann in der GD-Erweiterung ein Überlauf auftreten. Bei der cURL-Erweiterung können Angreifer die Restriktionen des open_basedir/safe_mode umgehen, in den 5er-Versionen von PHP betrifft der Fehler auch den realpath-Cache.
Die Funktion sscanf() enthält ebenfalls einen Puffer, der überlaufen kann. Auch mit der Version 5.1.5 ist ein Lesezugriff außerhalb der Speichergrenzen in stripos() möglich. Auf 64-Bit-Systemen beheben die PHP-Programmierer Fehler bei der Berücksichtigung von memory_limit.
