Die Fixes für PHP2Shell sind seit dem 21. Oktober draußen, und viele Teams können immer noch nicht sagen, welches PHP-Binary ihren letzten Request beantwortet hat. Kai hält den Interpreter für deine wichtigste Abhängigke…
Als PHP2Shell aufschlug, hat das PHP-Projekt Notfall-Patches im Quellcode für 7.4, 8.0 und 8.1 veröffentlicht, also für Branches, die es längst in Rente geschickt hatte. Sei dankbar, aber versteh die Geste richtig. Über …
Das PHP-Projekt hat die kritischen Fixes für CVE-2026-109618 und CVE-2026-109619 vorab angekündigt, mit Datum und UTC-Uhrzeit, und die Details zurückgehalten. Das war ein fairer Deal. Das Problem: Viele Teams haben die W…
CVE-2026-110264 ist ein Integer Overflow in Onigmo, den ein anonymer Besucher über GitLabs Org-mode-Renderer erreichen kann. Patchen, und zwar heute, klar. Die schwierigere Lektion betrifft die Defaults: Jedes Format, da…
Zwei kritische Lücken im PHP-Core, CVE-2026-109618 und CVE-2026-109619, wurden nur für 8.2 bis 8.5 gepatcht. Wer noch auf 7.4, 8.0 oder 8.1 sitzt, härtet jetzt Konfigurationsdateien gegen einen Bug, der zuschlägt, bevor …
Am 21. Oktober kamen am selben Nachmittag ein Bypass im Laravel-Token-Guard und zwei PHP-Lücken mit CVSS 9.2. Acht Tage später zeigt sich: Die Teams, die schnell ausgeliefert haben, waren nicht besorgter als alle anderen…
Der Fix für den Speicherfehler in session.upload_progress war für den 21. Oktober angekündigt, und die meisten Teams werden updaten und das Thema abhaken. Das ist das falsche Ende. Eine Voreinstellung, die kaum jemand nu…
Zwei Lücken mit CVSS 9.2 in der PHP-Engine, behoben in 8.5.12, 8.4.27, 8.3.36 und 8.2.35, und kein vollständiger Workaround. Das Upgrade dauert Minuten. Was den meisten Teams wirklich fehlt, ist eine verlässliche Liste a…
Am 21. Oktober tauchten mit CVE-2026-109618 und CVE-2026-109619 zwei Lücken in der PHP-Runtime auf, über die sich ohne Anmeldung Code aus der Ferne ausführen lässt. Plötzlich hatten viele Teams keine schnelle Antwort auf…
Am 21. Oktober kamen zwei PHP-Lücken mit einer Bewertung von 9.2, und die gefixten Versionen sind schnell aufgezählt. Schwieriger ist die Frage, ob du genau jetzt belegen kannst, welches Binary auf jedem Vhost, jeder Sta…
Zwei mit 9.2 bewertete Engine-Bugs, behoben in PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35, trafen Server, deren Anwendungscode makellos war. Kai meint, die Lösung ist eine Frage der Kultur: Anwendungsteams sollten den Interpr…
Symfony 6.4 ist bei seinem 48. Patch-Release angekommen, und die Runde dieser Woche hat Sicherheitslücken in Yaml und HttpFoundation sowie einen Zeitzonenfehler in Clock behoben. Laravel-Teams warten meist darauf, dass i…
Der RFC, der PECL für veraltet erklärt hat, hat nichts kaputt gemacht und keine Frist gesetzt. Deshalb lassen die meisten von uns pecl install einfach stehen. Ich halte das für falsch. Die Lücken in PIE sind echt, aber k…
mir, ein in Rust geschriebener Analyzer, der psalm.xml, Baselines und @psalm-*-Tags liest, prüft Laravel und Symfony in rund zwei Sekunden, wo Psalm fast eine Minute braucht. Die Geschwindigkeit ist die Schlagzeile. Die …
Reflections Beam kommt mit 501B Parametern, einer Apache-2.0-Lizenz und SWE-Bench-Zahlen, die diesen Monat jede Präsentation füllen werden. Mich interessiert ein kleineres Detail: eine Einstellung für den Denkaufwand, di…
Google, OpenAI und Anthropic haben innerhalb weniger Tage jeweils ein starkes Modell für $2 Input und $10 Output pro Million Tokens herausgebracht. Kai meint: Damit entscheidet der Preis nicht mehr. Der PHP-Code, der sic…
PHP-Teams diskutieren über jede Zeile in der composer.lock und lassen dann ihre Editoren im Hintergrund ein Dutzend Extensions aktualisieren, ohne dass jemand hinschaut. Dieses Jahr hat gezeigt, dass ein einziges Release…
PyTorch 2.14 bringt schnellere Mac-Kernels, ein neues GEMM-Backend und fehlertolerantes verteiltes Training. Die Änderung, die mir nicht aus dem Kopf geht, ist kleiner: torch.compile verweigert unter Python 3.15 jetzt de…
Route::query() wird die Aufmerksamkeit bekommen, aber die wichtige Änderung in Laravel 13.35 ist leiser. Mit Schedule::alwaysOnOneServer() und global strikten Form Requests ersetzt eine Zeile Konfiguration eine Regel, an…
PHP 8.6 entscheidet sich immer wieder für einen geworfenen Fehler statt für eine höfliche Vermutung, und ich halte das für das Beste an diesem Release. Mit einer Ausnahme: Partial Function Application hält ihre Argumente…
Fast ein Jahr nach dem Release von PHP 8.5 reden alle immer noch über |>. Ich glaube, das Feature, das dir den meisten Ärger erspart, ist die neue URI-Extension, die URLs endlich nach RFC 3986 und WHATWG parst. Pipes mac…
Mistral Large 4 kommt im Artificial Analysis Index auf 38 Punkte. Damit liegt es gleichauf mit einem Modell, das pro Aufgabe ein Sechzehntel kostet, und auf Mistrals eigener Plattform läuft ein stärkerer Konkurrent. Kai …
Laravel 13.35 bringt Route::query() und gibt der brandneuen HTTP-Methode QUERY damit einen festen Platz im Router. Ich finde, neue Endpoints mit vielen Filtern sollten sie sofort nutzen, nicht irgendwann. Ja, deine Proxy…
Alle zitieren den VS-Code-Build, der von 77.8 Sekunden auf 7.5 fällt. Mich interessiert mehr, was dabei fehlt: eine stabile programmatische API. Für PHP, dessen statische Analyse von ihren Plugin-Ökosystemen lebt, wiegt …
Symfony 8.2 gibt die Konfiguration an die Komponenten zurück: 29 neue Bundles mit jeweils eigenem Config-Root, und die alten framework:-Schlüssel funktionieren über Aliase weiter. Das ist großzügig, und genau deshalb sol…
Symfony 8.2 bringt jede Menge neue Features, aber am meisten interessiert mich eine einzige Transport-Option: die Transactional Outbox. Wenn das Verhindern von Dual Writes nur noch eine Zeile Konfiguration kostet, wird d…
Mago, die Rust-Toolchain für PHP, formatiert, lintet, analysiert und bewacht die Architektur aus einem einzigen Binary, und das Tempo ist echt. Kai meint: Klug ist es, ihm schon jetzt die schnellen, günstigen Checks zu ü…
Mit React 19.3 rendern voneinander unabhängige Transitions jeweils für sich, statt aneinandergekoppelt zu sein. PHP-Entwickler kennen die Idee: Genau so verhindern FPM-Worker seit Jahren, dass ein langsamer Request alle …
Partial Function Application kommt mit PHP 8.6 und macht den Pipe-Operator endlich angenehm. Man liest es aber leicht falsch. Ein Partial wertet seine festen Argumente genau einmal aus, nämlich beim Erzeugen, und verlier…
Mit Angular v22 sind Signal Forms und die auf resource basierenden asynchronen Signals stabil. Für PHP-Teams, die ein Angular-Frontend auf Laravel oder Symfony betreiben, ist das der Anlass, Validierungsregeln und Server…
