除去しない)問題を報告しました。PHP5.5.9にて改修されました。これらのリリースは約1ヶ月前で、そろそろ次のバージョンがリリースされますが確認が遅れておりました。具体的には、数の左側の入力に対して、矢印の右側の結果となります。autoexec.bat2番目の結果に違和感のある方がおられると思いますが、これはNTFSのストリームという機能に対応したものです。ストリームについては下記を参照下さい。変換されていましたが、私から追記として指摘(PHPはNTFSストリームに対応していないし、パストラバーサル対策としてはまずいよ)したところ、いやいやPHPはNTFSストリームに対応しているよ(私の確認不足でした)という返答でしたが、最終的に、コロンの前(こちらがファイル名で、コロンの後ろがストリーム名)が一文字の場合は除去するというアドホックな仕様に落ち着いたようです個人的には、NTFSストリームはExplorer等のWindows標準ツールでも上手く扱えないものを認めても混乱の元となるだけだと思いますが、まぁ独自のこだわりがあったのでしょう。最終的な仕様は許容できるものだと思います。いうことで、Windows版PHPをお使いの方は、最新のPHPにバージョンアップを推奨します。PHP5.3の最新版5.3.28では、この問題は直っていません。アプリケーション側では、basename関数を通すだけでなく、「安全なウェブサイトの作り方」にあるように、「固定のディレクトリを指定」するようにしてください。#66395の影響を受けなくなります。