Composer

2.9.2 2025-11-19

• Added new --no-security-blocking flag to disable/configure security blocking (#12617)
• Added a way to set audit > ignore to act only on audits or only on security blocking (#12618, #12612)
• Fixed config command not being able to set the new audit settings (#12609)
• Fixed handling audit.ignore to support CVE ids while doing security blocking, but advisory IDs are still preferred for performance reasons (#12624)
• Fixed partial updates failing when another package in the lock file has a known security advisory (#12626)

2.9.1 2025-11-13

• phpunitのバイナリプロキシでの退行問題を修正 (#12601)
• スクリプトハンドラーの自動読み込みの問題を修正 (#12606)
• 特定の場合でのCommand::setDescriptionのヌル呼び出しを修正 (#12605)
• –prefer-lowerでの構築が時折失敗していた点を修正。 既知の脆弱性があるバージョンの絞り込みのためでした (#12603)

2.9.0 2025-11-13

• –bump-after-updateの小規模な問題をいくつか修正 (#12598)
• 様々な文書の修正

2.9.0-RC1 2025-11-07

• composer-plugin-apiを2.9.0に更新
• セキュリティの勧告があるパッケージの更新を自動で阻止するようにしました (#11956)
• audit > block-insecure構成設定を追加しました。 既知のセキュリティ勧告があるパッケージのバージョンに更新することを阻止するための制御をします（既定でtrueです） (#11956)
• audit > block-abandoned構成設定を追加しました。 放棄されたパッケージの更新を阻止する制御をします（既定でfalseです） (#11956)
• audit > ignore-abandoned構成設定を追加しました。 一部のパッケージを無視することができます (#12572)
• auditコマンドに--ignore-unreachableフラグを追加しました。 アクセスできないリポジトリがある環境で監査を実行できます (#12470)
• repositoryコマンドを追加しました。 リポジトリの追加、削除、更新がもっと簡単になります (#12388)
• repositories構造を更新しました。 名前の属性が含まれるようになり、オブジェクトではなくリストとして保管されます (#12388)
• --minimal-changesの対応を追加しました。 変更した制約が更新されていることを満たすよう変える必要があるパッケージだけを完全に更新します (#12349)
• update-with-minimal-changes構成設定（とCOMPOSER_MINIMAL_CHANGES環境変数）を追加します。 既定を最小の変更にします (#12545)
• forgejo / codeberg.orgのリポジトリに対応しました (#12307)
• 内容ハッシュの競合があるファイルでupdateを実行するとき、単純な固定ファイルが競合してから自動で復旧するようにしました (#11517)
• libcurlが対応している場合に、HTTP/3が追加されます (#12363)
• 独自のヘッダー認証に対応しました (#12372)
• クライアントTLS証明書に対応しました (#12406)
• licensesコマンドに--lockedフラグを追加しました。 インストールされたパッケージではなく固定ファイルのデータを表示します (#12595)
• SHELL_VERBOSITY環境変数を追加しました。 シェルスクリプトの冗長性を制御します (#12473)
• 対話なしでinitを実行する対応を入れました (#12546)
• COMPOSER_PREFER_DEV_OVER_PRERELEASE環境変数を追加しました。 開発で--prefer-lowestでの構築と組み合わせて使う用です (#12585)
• Windows Sudoに対応しました。 self-updateで昇格するようになりました (#12543)
• アドホックな自動読込器を作る処理を削減することでスクリプトを扱う処理の効率を改善しました (#12456)
• Fixed display of dist refs for dev versions when source is missing (#12562)
• Fixed issue not showing abandoned warnings when a package is abandoned without new release (#12423)
• Symfony 7の互換性の問題を修正しました。
• Fixed issues with PHP preloading being hard to debug (#12528)

2.8.12 2025-09-19

• バージョン検証でのjson schemaの問題を修正 (#12512)
• PHP 8.5の非推奨の警告を修正しました (#12513)
• BitBucketのAPIトークンへの対応を修正 (#12515)
• バイナリを使うとき、パスの空白の扱いを修正 (#12524)
• config --globalのパス解決での問題を直しました (#12537)
• パッケージを読み込むときに一時的に必要なメモリ使用量を減らしました (#12516)
• react/promise 2.xへの対応を無くしました

2.8.11 2025-08-21

• PHP 8.5の非推奨の警告を修正しました (#12504, #12493, #12505)
• bumpコマンドについて、0.x のバージョンの扱いを直しました (#12468)
• psr-4の警告を直しました。 シンボリックリンクされたディレクトリを使うときに表示されることがありました (#12480)
• auditコマンドについて、どの推奨制約が不正であっても失敗していた点を直しました (#12507)

2.8.10 2025-07-10

• 特殊な場合で、まだ読み込まれていないのにプラグインが読み込まれたものとして表示されてしまう事象を直しました (#12442)
• Symfony 7.4との前方互換性の問題を修正しました (#12445)
• プラットフォーム検査が失敗したときのPHP 8.4の非推奨警告を直しました (#12453)
• GitLabの新しいplannerロールへの対応を修正 (#12426)
• 2.8.0で入り込んでいたBitBucketの退行問題を直しました (#12462)
• バージョン検証でのjson schemaの問題を修正 (#12438)
• システムによってgitのプロンプトが崩れてしまうことがあった点を直しました (#12437)
• curlが読み込まれていないときのPHP 8.5での警告を直しました (#12472)

2.8.9 2025-05-13

• バージョン検証でのjson schemaの問題を修正 (#12376)
• update --lock後に無駄にbump-after-updateし始めてしまう点を直しました (#12371)
• ZipArchiveを使って解凍するとき、zip爆弾の偽陽性の判定がされてしまう点を直しました (#12409)
• 空のアーカイブが作られてしまっていた点を直しました (#12408)
• composer <スクリプト名で実行するとき、実行するスクリプトの出力を削除しました (#12383)

2.8.8 2025-04-04

• バージョン検証でjson schemaの問題を修正 (#12367)
• 32ビットのマシンで走らせるときの問題を修正 (#12365)

2.8.7 2025-04-03

• 依存関係にあるjustinrainbow/json-schemaを6.xに更新 (#12348)
• Composerが開始する並列プロセスの最大数を制御するCOMPOSER_MAX_PARALLEL_PROCESS環境変数を追加 (#12356)
• diagnoseコマンドの出力にzstd/brotliの存在有無を追加
• エラー制御を修正し、非推奨の注意書きで散らからないようにしました (#12360)
• Composerの実行時に、InstalledVersionsが重複するデータを返していた点を修正 (#12225)
• --with ...制約の扱いを修正し、別名で置き換えられたパッケージに適用するようにしました (#12353)
• ベンダーディレクトリ内で、IDEのコードインスペクションに非推奨の警告が出てくる問題を修正 (#12331)
• json schemaの完全性の問題を修正 (#12332, #12321)
• パス内の.pharが付くファイルの自動読み込みでの問題を修正 (#12326)

2.8.6 2025-02-25

• --with[-all]-dependenciesフラグを有効にする環境変数COMPOSER_WITH_DEPENDENCIESとCOMPOSER_WITH_ALL_DEPENDENCIESを追加 (#12289)
• 特定のスクリプトハンドラがスクリプト名でスキップされるようにするための、環境変数COMPOSER_SKIP_SCRIPTSを追加 (#12290)
• Avastとcurlの証明書エラーが一緒に検出されたときのエラーヒントを追加 (#9894)
• アーカイブ作成時の、フォルダ名中のバックスラッシュの扱いを修正 (#12327)
• containerdの検出を修正し、コンテナでrootの使用についての警告がないようにしました (#12299)

2.8.5 2025-01-21

• Added build provenance attestation so you can also now download and verify phar files from GitHub releases:

  gh release --repo composer/composer download --pattern composer.phar
  gh attestation verify --repo composer/composer composer.phar
  

• 非対応のfundingの値により、パッケージの解析エラーが起こっていた点を修正 (#12247)

• 新しい寄付の書式への対応を修正 (#12257)

• reload()を使うときの、2.8.4であったInstalledVersionsの退行問題を修正 (#12269)

• psr-0/psr-4の規則が、vendor/composer/autoload*.phpにおいて不定の順番になっていた点を修正 (#12263)

• 特定の状況下で、誤って起こっていた警告を修正 (#12284, #12268, #12283)

2.8.4 2024-12-11

• auditコマンドの終了コードに意味がなかった点を修正しました（脆弱性のとき1、放棄されているときは2、両方では3になりました） (#12203)
• 複数のクラスが定義されている場合の、プラグインの更新時の問題を修正しました (#12226)
• phpの設定によって、出力に現れていた重複するエラーを修正しました (#12214)
• InstalledVersionsがある場合に重複するデータを返していた点を修正しました (#12225)
• installed.phpを修正し、整列が決定的になるようにしました (#12197)
• インラインの制約を使っているときにbump-after-updateが失敗する点を修正しました (#12223)
• create-projectコマンドを修正しました。 パスリポジトリを引数に使った場合、シンボリックリンクを無効にするようになりました (#12222)
• validate --no-check-publishを修正し、全面的に公開のエラーを隠すようにしました。 無関係なエラーのためです (#12196)
• composer auditが失敗したとき、auditコマンドが失敗コードを返していた点を修正しました。 ビルドの失敗を引き起こすべきではないためです。 ただ、ビルドの一過程でauditを走らせること自体、あまり感心しません (#12196)
• curlの使い方を修正し、プロキシが使われているときに壊れたバージョンで多重化を無効にするようにしました (#12207)

2.8.3 2024-11-17

• Windowsでのプロセス探索の扱いを修正 (#12180)
• react/promiseの要件で2.xのインストールができるように改めて修正 (#12188)
• lock:falseがrequireコマンドやbumpコマンドで設定されたときの問題を修正

2.8.2 2024-10-29

• プロバイダに説明がないとき、プロバイダの提案時にクラッシュしていた点を修正 (#12152)
• 特定の状況で、スキーマに違反する固定ファイルが作られる問題を修正 (#12149)
• 相対パスのリポジトリのパスを使う際に、2.8.1で生じたcreate-projectの退行問題を修正 (#12150)
• ctrl-Cで中断する操作が、テキストプロンプトで機能していなかった点を修正 (#12106)
• 所有権の違反でgitによりリポジトリが読み込めなかったときに、gitがひとりでに失敗していた点を修正 (#12178)
• プロキシを介してPHPでないバイナリを実行しているときの、シグナルの扱いを修正しました (#11716)

2.8.1 2024-10-04

• initコマンドを修正し、使用許諾が与えられなかったときの退行問題を修正しました (#12145)
• --strict-ambiguousフラグの扱いを修正しました。 全ての問題を報告しないことがありました (#12148)
• create-projectを修正し、インストールされるプロジェクトファイルのフォルダのパーミッションを継承するようにしました (#12146)
• 親ディレクトリのcomposer.jsonを使うときのプロンプトが、正しく動かない場合があった点を修正しました (#8023)

2.8.0 2024-10-02

• 後方互換性についての警告：https_proxy環境変数がhttp_proxyの値にフォールバックする点を修正しました。 2.7.3のリリースノートの通り、フォールバックと警告は削除されました (#11938, #11915)。
• updateコマンドに--patch-onlyフラグを追加しました。 これにより、更新をパッチバージョンに制限し、全ての依存関係がより安全な方へ更新されます (#12122)
• auditコマンドに--abandonedフラグに追加しました。 放棄されたパッケージの扱い方が構成されます。 audit.abandoned構成設定を上塗りします (#12091)
• auditコマンドに--ignore-severityフラグを追加しました。 1つ以上の勧告の深刻度を無視します (#12132)
• updateコマンドに--bump-after-updateフラグを追加します。 更新が完了した後にbumpを走らせます (#11942)
• scriptsのうち、どれが追加のCLIの引数を受け取るかを制御する方法を追加しました。 また、コマンドのどこに入れるかも制御できます。 ドキュメントを参照してください (#12086)
• allow-missing-requirements構成設定を追加しました。 固定ファイルがcomposer.jsonの依存関係を満たさないときのエラーを飛ばすものです (#11966)
• composer.lockファイルのJSONスキーマを追加しました (#12123)
• Bitbucketのアプリパスワード対応を改善しました。 リポジトリをクローンしたりソースからインストールしたりする部分です (#12103)
• reinstallコマンドに--typeフラグを追加し、種別でパッケージを絞り込めるようにしました (#12114)
• dump-autoloadコマンドに--strict-ambiguousフラグを追加しました。 重複するクラスが見つかったときにエラーコードを返すようにします (#12119)
• ベンダーファイルが削除されたときにdump-autoloadで出す警告を加えました (#12139)
• create-projectを走らせる際、欠けている各プラットフォームパッケージに警告を追加しました。 何度も走らせなくていいようにするためです (#12120)
• sort-packagesが有効のとき、allow-pluginsにパッケージの整列を追加しました (#11348)
• extやlibのパッケージが欠けているときの、プロバイダパッケージやポリフィルの提案を追加しました (#12113)
• 最初に全てのパッケージと取り得る更新情報を出力し、対話的なパッケージの更新の選択を改善しました (#11990)
• 決定論的で（しばしば）論理的な方法で出力を整列し、依存関係の解決の失敗の出力を改善しました (#12111)
• PHP 8.4のE_STRICTの非推奨の警告を修正しました (#12116)
• initコマンドを修正し、与えられた使用許諾の識別子を検証するようにしました (#12115)
• 機能パッケージが2つの主線ブランチのどちらかに由来する可能性があると思われるとき、バージョンの推定を、機能ブランチに基づいてより決定論的になるよう修正しました (#12129)
• COMPOSER_ROOT_VERSION環境変数の扱いを修正しました。 例えば1.1の扱いは1.2.x-devと同じにし、1.2.0とは違うようにしました (#12109)
• requireコマンドを修正し、固定ファイルの新しい安定性フラグを飛ばすようにしました。 以前は固定ファイルの不当な差分が生じていました (#12112)
• php://stdin を修正しました。 Composerをプラグラムで走らせているときに複数回開く可能性がありました (#12107)
• プラットフォームパッケージの扱いを修正しました。 why-notコマンドと部分更新の部分です (#12110)
• 2.7.8で入った「transport-options.sslについて、ローカルの証明書の認証がロックファイルに保管されて、可搬でなかった点を修正しました (#12019)」が壊れていたため、差し戻しました。

2.7.9 2024-09-04

• 制約のある環境でのDockerの検出が壊れていた点を修正しました (#12095)
• bash補完スクリプトの上流の問題を修正しました。 completionコマンドで更新することをお勧めします (#12015)

2.7.8 2024-08-22

• outdatedのJSON出力にrelease-ageとrelease-dateとlatest-release-dateを加えました (#12053)
• PHP 8.4の非推奨の警告を修正しました。
• ブランチを解決する部分を修正し、#記号を含むものでも機能するようにしました (#12042)
• bumpコマンドについて、~制約が正しく扱われていなかった点を直しました (#11889)
• COMPOSER_AUTHが./auth.jsonより優先度が上でなかった点を修正しました (#12084)
• relative: trueについて、パスのリポジトリのシンボリックリンクが考慮されないことがあった点を修正しました (#12092)
• キャッシュからの複製について、VirtualBoxの共有フォルダを使うときに失敗することがあった点を修正しました (#12057)
• PSR-4の自動読み込み順序について、エッジケースの退行問題を修正しました (#12063)
• 重複するlib-*パッケージにより、peclとcoreのバージョンの同じPHP拡張があるときに問題が生じていた点を修正しました (#12093)
• transport-options.sslについて、ローカルの証明書の認証がロックファイルに保管されて、可搬でなかった点を修正しました (#12019)
• メモリに関して、大きなバイナリをインストールするときの問題を修正しました (#12032)
• archiveコマンドについて、windowsでパスのrealpathが取れないときにクラッシュする点を修正しました (#11544)
• API: BasePackage::STABILITIESをもって、BasePackage::$stabilitiesを廃止しました (685add70ec)
• Dockerの検出を改善しました (#12062)

2.7.7 2024-06-10

• セキュリティ：悪意のあるgitブランチ名を介したコマンドインジェクションに対して修正しました (GHSA-47f6-5gq3-vx9c / CVE-2024-35241)。
• セキュリティ：悪意のあるgit/hgブランチ名を介した複数のコマンドインジェクションに対して修正しました (GHSA-v9qv-c7wm-wgmf / CVE-2024-35242)。
• セキュリティ：不正なURLの形式を使って迂回される可能性のあったsecure-http検査を修正しました (fa3b9582c)。
• セキュリティ：linuxにおけるwindows固有の検査を含むFilesystem::isLocalPathを修正しました (3c37a67c)。
• セキュリティ：perforceへの引数のエスケープを修正しました (3773f775)。
• セキュリティ：アーカイブを解凍するときのzip爆弾の扱いを修正しました (de5f7e32)。
• セキュリティ：Windowsのコマンドの仮引数のエスケープを修正し、エンコーディングの変換の最尤一致によるユニコード文字の濫用を防止しました (3130a7455, 04a63b324)。
• 隠された規則の名前空間に合致しないクラスに対するPSR違反を修正しました。 これにより新たに違反項目が見つかるかもしれません (#11957)。
• プラグインがベンダーディレクトリにあるものの、ブランチを変えた後に必要でなくなったり使えなくなったりしたときのUXを修正しました (#12000)。
• 固定ファイルが古いとき、composer.jsonの新しいプラットフォーム要件が検査されない点を修正しました (#12001)。
• configコマンドがautoloadキーを削除する機能を修正しました (#11967)。
• initコマンドでの空のtypeへの対応を修正しました (#11999)。
• gitの構成でsafe.bareRepositoryがstrictに設定されているときのgitクローンのエラーを修正しました (#11969)。
• PHP <8.1でネットワークエラーが表示される退行問題を修正しました (#11974)。
• 一部の警告でのカラーブリードを修正しました (#11972)。

2.7.6 2024-05-04

• スクリプト制御子が私有コールバックを使う自動読み込み器を加えるときの退行問題を修正しました (#11960)。

2.7.5 2024-05-03

• removeコマンドにuninstallの別称を加えました (#11951)。
• 転送で例外を起こすcurlの壊れたバージョン8.7.0/8.7.1のための対処法を加えました (#11913)。
• Podmanコンテナ内で表示される、rootを使うときの警告を修正しました (#11946)。
• configコマンドがある状況で正しくオブジェクトを扱っていなかった点を修正しました (#11945)。
• プロジェクトディレクトリがシンボリックリンクのとき、バイナリプロキシが正しいパスを含んでいなかった点を修正しました (#11947)。
• イベント制御子（scriptsとplugins）から読み込まれたときに、Composerの自動読み込み器がプロジェクトの自動読み込み器から無視される点を修正しました (#11955)。
• TransportException（httpの失敗）が個別の終了コードでなかった点を修正しました (#11954)。 100のコードで終わるようになりました。

2.7.4 2024-04-22

• composer/composerのバージョンpre-2.7.3を要件とするプロジェクトでの退行問題（Call to undefined method ProxyManager::needsTransitionWarning()）を修正しました (#11943, #11940)。

2.7.3 2024-04-19

• 後方互換性についての警告：https_proxy環境変数がhttp_proxyの値にフォールバックする点を修正しました。 まだそのままになっていますが、警告を伴うようになりました。 https_proxyを空に設定してフォールバックを除くことができるようになりました。 Composer 2.8.0ではフォールバックを削除するため、本警告にご注意ください (#11915)。
• showコマンドとoutdatedコマンドを修正し、パッケージの一覧を表示するときの先頭のvを除きました。 例えばv1.2.3のような見た目をしていました (#11925)。
• auditコマンドを修正し、CVEが存在しないときに識別番号を表示しないようにしました。 勧告識別番号が表示されるようになりました (#11892)。
• project種別を持つパッケージで表示される既定のバージョンが欠けていることについての警告を修正しました。 これらのパッケージは大抵バージョン管理されておらず、循環参照がないためです (#11885)。
• PHP 8.4の非推奨の警告を修正しました。
• clear-cacheコマンドを修正し、ローカルのcomposer.jsonのconfig.cache-dir設定を考慮するようにしました (#11921)。
• statusコマンドが失敗したダウンロードとインストールのプロミスを正しく扱っていなかった点を修正しました (#11889)。
• GitHubの寄付ファイルのbuy_me_a_coffeeへの対応を追加しました (#11902)。
• SSHのURLにhgの対応を追加しました (#11878)。
• 幾つかの環境変数を修正し、整数値がクラッシュを起こさないようにしました (#11908)。
• IOInterfaceをPSR-3ロガーとして使う際に文脈データが出力されないように修正しました (#11882)。

2.7.2 2024-03-11

• composer --versionを走らせる際に、PHPのバージョンについての情報を追加しました (#11866)。
• 根幹のバージョンが見合たらなかったときの警告を追加しました (#11858)。
• ルート権限で走らせる際に、幾つかの状況下では依然としてプラグインが有効だった問題を修正しました (c3efff91f)。
• outdated --ignore ...が依然として無視されたパッケージの最新版を読み込もうとしていた問題を修正しました (#11863)。
• インストールパスの途中でシンボリックリンクが壊れたときの対処について修正しました (#11864)。
• update --lockが依然として幾つかのメタ情報を間違った内容で更新していた問題を修正しました (#11850, #11787)。

2.7.1 2024-02-09

• 2.7.0で利用者が出喰わすよくある問題に対して補足を入れるために、プラグインが無効化されたときの警告を幾つか追加しました (#11842)。
• pharから走らせたときにdiagnoseでのComposerの依存関係の監査が失敗する問題を修正しました。

2.7.0 2024-02-08

• セキュリティ：危殆化したベンダーディレクトリの内容を介したコードの実行と権限昇格の可能性を修正しました (GHSA-7c6p-848j-wh5h / CVE-2024-24821)。
• audit.abandoned構成設定の期待値をfailに変更しました。 望ましくなければreportやignoreに設定してください。 またはCOMPOSER_AUDIT_ABANDONED環境変数も使えます (#11643)。
• update/require/removeコマンドに–minimal-changes (-m) フラグを追加し、–with-dependenciesで部分的な更新を掛けつつ、推移的な依存関係で絶対に必要なものだけを変更できるようにしました (#11665)。
• outdated/showコマンドに–sort-by-age (-A) フラグを追加し、それぞれリリース日による整列（古いものが最初に来ます）とリリース日の表示ができるようにしました (#11762)。
• showコマンドで--selfを--installedや--lockedと組み合わせる対応を追加しました。 根幹パッケージを出力されるパッケージの一覧に追加できるようにするための変更です (#11785)。
• 深刻度の情報をauditコマンドの出力に追加しました (#11702)。
• composer.jsonにscripts-aliases最上位キーを追加しました。 定義した自前のスクリプトに別称を定義できます (#11666)。
• 接続が時間切れになったときにIPv4にフォールバックする対応を加えました。 また、IPv4やIPv6に強制するための環境変数COMPOSER_IPRESOLVEも追加しました。 それぞれ4および6に設定できます (#11791)。
• outdatedの–ignore引数にワイルドカードの対応を追加しました (#11831)。
• bumpコマンドに、*を>=現在のバージョンに上げる対応を追加しました (#11694)。
• validateコマンドに、どうあっても照合する可能性のない制約の検出を追加しました (#11829)。
• とても冗長なモード (-vv) で走らせているときに、パッケージのソース情報をinstallの出力に追加するようにしました。
• diagnoseコマンドでComposer自体に含まれる依存関係の監査を追加しました (#11761)。
• diagnoseコマンドの出力にGitHubトークンの失効日を追加しました (#11688)。
• why/why-notコマンドに非ゼロの状態コードを追加しました (#11796)。
• show --direct <package>を間接ないし推移的な依存関係で呼び出したときのエラーを追加しました (#11728)。
• COMPOSER_FUND=0環境変数を追加し、募金の呼び掛けを隠せるようにしました (#11779)。
• bumpコマンドを修正し、v前置詞が必要なパッケージのバージョンを上げないようにしました (#11764)。
• ルートユーザーとして非対話的に走らせているときに、プラグインが自動的に無効になる事象を修正しました。
• update --lockを修正し、distのreference/url/checksumがピン留めされたままになっていなかった点を修正しました (#11787)。
• 固定ファイルが存在していない場合にrequireコマンドが最後にクラッシュする問題を修正しました (#11814)。
• 固定された依存関係を監査するときにルートの別称が問題を起こす点を修正しました (#11771)。
• requireコマンドで4つのコンポーネントでバージョンを扱うときの問題を修正しました (#11716)。
• Symfony 7の互換性の問題を修正しました。
• requireコマンドの–dry-runの後、composer.jsonが最新の状態に追従できない問題を修正しました (#11747)。
• 特定の状況下で警告が間違って表示されていた点を修正しました (#11786, #11760, #11803)。

2.6.6 2023-12-08

• 要件symfony/consoleから7.xを除外するように修正しました。 Composer 2.6とは互換性が無いからです。 2.7では互換性があるでしょう (#11741)
• libpqの解析を修正し、可能であれば大域定数を使うようにしました (#11684)
• 一時制約の失敗があった更新でのエラー出力を修正しました (#11692)

2.6.5 2023-10-06

• vendorディレクトリに壊れたシンボリックリンクが含まれる場合の失敗を修正しました (#11670)。
• Composerのzipアーカイブから欠けていたcomposer.lockを修正しました (#11674)。
• 2.6.4で変わったAutoloadGenerator::dump()の非BCシグネチャを修正しました (cb363b0e8)。

2.6.4 2023-09-29

• セキュリティ：composer.pharが公開されててアクセスでき、PHPとして実行でき、php.iniでregister_argc_argvが有効なとき、遠隔コード実行の脆弱性がありえた点を直しました (GHSA-jm6m-4632-36hf / CVE-2023-43655)。
• auditコマンドで放棄されたパッケージのjson出力を直しました (#11647)。
• プール最適化の工程を効率良くしました (#11638)。
• show -a <パッケージ名>の効率良くしました (#11659)。