Ein Hacker-News-Beitrag erwartet für den 22. Oktober 2026 um 18:00 CEST eine PHP-Ankündigung zu zwei Lücken für Remote Code Execution mit jeweils CVSS 10.0. Genannt werden CVE-2026-109618 und CVE-2026-109619. Der Verfass…
Symfony 6.4 ist bei seinem 48. Patch-Release angekommen, und die Runde dieser Woche hat Sicherheitslücken in Yaml und HttpFoundation sowie einen Zeitzonenfehler in Clock behoben. Laravel-Teams warten meist darauf, dass i…
Laravels Token-API-Guard erlaubte auf MySQL und MariaDB den unauthentifizierten Zugriff auf bestehende Konten, wenn ein Angreifer einen Nicht-String als Zugangsdaten übergab. Die kritische Lücke mit CVSS 9.2 ist in 12.68…
Ein Beitrag in r/PHP ordnet CVE-2026-108082 als ReDoS-Problem in Symfony ein. Demnach kann eine einzige Anfrage die CPU mehrere Sekunden lang auslasten. Der vorliegende Auszug nennt keine betroffenen Symfony-Versionen od…
Laravel 13.38.0 ist am 20. Oktober 2026 als Wartungsupdate für den 13.x-Zweig erschienen. Die Version ändert Validierung, Eloquent-Relationen, Datenbankabfragen, Queues, Benachrichtigungen, Logging, Caching und Lazy Coll…
Der RFC, der PECL für veraltet erklärt hat, hat nichts kaputt gemacht und keine Frist gesetzt. Deshalb lassen die meisten von uns pecl install einfach stehen. Ich halte das für falsch. Die Lücken in PIE sind echt, aber k…
RoadRunner 3 ist verfügbar und kehrt zu Semantic Versioning zurück. Alle PHP-Pakete verwenden nun den gemeinsamen Namespace roadrunner/*. Die Version unterstützt PHP 8.2 und neuer, erweitert HTTP-, Jobs-, Proxy-, Redis- …
Der Symfony-Rückblick vom 12. bis 18. Oktober 2026 meldet Wartungsarbeiten in vier Release-Branches sowie Sicherheitskorrekturen für Yaml und HttpFoundation. Symfony UX 3.6 bringt experimentelle Werkzeuge. Zugleich gab d…
Laravel 13.36 ist im Oktober 2026 erschienen. Das Update ergänzt fluente Builder für weitere Validierungsregeln und bringt mit DB::olap() eine Schnittstelle für analytische Abfragen auf kompatiblen Vitess-Systemen wie Pl…
Der ausführliche Upstream-Eintrag zu FrankenPHP 1.13.0 nennt fünf behobene Sicherheitsprobleme, darunter zwei mit hoher Einstufung. Hinzu kommen Caddy 2.11.7, Mercure 1.0, sichere Konfigurations-Reloads, PHP-8.6-Kompatib…
Manticore ist ein Ahead-of-Time-Compiler für PHP 8.5+ mit LLVM-Backend und kann nun Symfony-Anwendungen kompilieren. Der Meilenstein umfasst ein Symfony-Skeleton ohne Doctrine sowie einfache Symfony-Console-Anwendungen. …
Im September 2025 beschloss die PHP-Community, PIE, den PHP Installer for Extensions, künftig gegenüber PECL für die Installation nicht gebündelter Erweiterungen zu empfehlen. PIE 1.5.2 kompiliert und aktiviert Pakete vo…
mir, ein in Rust geschriebener Analyzer, der psalm.xml, Baselines und @psalm-*-Tags liest, prüft Laravel und Symfony in rund zwei Sekunden, wo Psalm fast eine Minute braucht. Die Geschwindigkeit ist die Schlagzeile. Die …
Symfony 5.4.54 behebt CVE-2026-109449 in der Komponente ExpressionLanguage, indem die Verschachtelungstiefe von Ausdrücken begrenzt wird. Die Wartungsversion verbessert zudem die Cache-Verarbeitung und das Escaping von Z…
Laravel 13.37.0 ist am 16. Oktober mit Korrekturen für Queues, Eloquent und Datenbankzugriffe erschienen. queue:failed erhält die Option --queue, und queue:forget akzeptiert mehrere IDs. Die Image API unterstützt jetzt J…
Pest 5.3.2 enthält einen Fehler im neuen zeitbasierten Sharding-Verfahren. Werden parallele Ausführung und Sharding kombiniert, überspringt der Test-Runner sämtliche PHPUnit-Tests unbemerkt. Das Problem wurde nach unerwa…
Symfony 5.4.54 wurde am 15. Oktober 2026 als Sicherheitsrelease für den 5.4-Zweig veröffentlicht. Die Version behebt CVE-2026-109449 in ExpressionLanguage, CVE-2026-108082 in HttpFoundation und CVE-2026-109413 in Yaml. Z…
Alexandre Daubois beschreibt, wie das unabhängige PHP-Sicherheitsteam Meldungen prüft, über mehrere Plattformen reproduziert und CVEs ohne Wartezeit auf GitHub vergibt. Seit dem 1. Juli veröffentlichte es 15 CVEs und sch…
Laravel 13.36.0 führt Fluent Builder für sämtliche Validierungsregeln ein, die bisher nur als String verfügbar waren. Die Version ergänzt außerdem eine OLAP-Umschaltung für PlanetScale und Vitess, optionale Resets für St…
Symfony hat am 14. Oktober die Version 6.4.48 veröffentlicht. Die ausführlichen Hinweise nennen Korrekturen in HttpClient, DependencyInjection, HttpKernel, Messenger, Yaml, Clock und Security. Behoben werden unter andere…
Ein derzeit diskutierter RFC schlägt für PHPs json_decode() und json_validate() zwei getrennte Opt-in-Flags vor. JSON_ALLOW_COMMENTS soll Zeilen- und Blockkommentare akzeptieren. JSON_ALLOW_TRAILING_COMMAS soll ein letzt…
Route::query() wird die Aufmerksamkeit bekommen, aber die wichtige Änderung in Laravel 13.35 ist leiser. Mit Schedule::alwaysOnOneServer() und global strikten Form Requests ersetzt eine Zeile Konfiguration eine Regel, an…
Inertia.js 3.9.0 gibt usePoll() und router.poll() mit background eine klare Steuerung für versteckte Tabs. Zur Auswahl stehen pause, throttle und continue. Die Version kennzeichnet History-Wiederherstellungen in Navigate…
Laravel hat am 13. Oktober die Framework-Version v12.70.0 veröffentlicht. Pull Request #61838 behebt Probleme bei Abfragen und wird @taylorotwell zugeschrieben. Der Backport in #61871 bringt EncodedParameter aus #61610 i…
PHP 8.6 entscheidet sich immer wieder für einen geworfenen Fehler statt für eine höfliche Vermutung, und ich halte das für das Beste an diesem Release. Mit einer Ausnahme: Partial Function Application hält ihre Argumente…
CVE-2026-91768 betrifft die FastCGI-Verarbeitung der PHP-Einstellung allowed_clients. Die Prüfung erfasst bei einer IPv6-Adresse nur 96 der 128 Bits, sodass ein Teil der Adresse unberücksichtigt bleibt. Der vorliegende B…
Freek Van der Herten beleuchtet einen RFC für PHP 8.6, der Standardwerte bei readonly-Eigenschaften neu regelt. Der Überblick ordnet die vier Jahre alte Einschränkung ein, nennt Interface-Eigenschaften als wichtigen Anla…
PHP 8.6.0 RC3 wurde am 8. Oktober 2026 veröffentlicht und stellt die partielle Funktionsanwendung ins Zentrum des Releases. Für Upgrades sind strengere Argumentprüfungen, sicherere Sitzungsstandardwerte und auf PHP 9 zul…
Fast ein Jahr nach dem Release von PHP 8.5 reden alle immer noch über |>. Ich glaube, das Feature, das dir den meisten Ärger erspart, ist die neue URI-Extension, die URLs endlich nach RFC 3986 und WHATWG parst. Pipes mac…
PHP 8.5 ist am 20. November 2025 erschienen. Die Version bringt den Pipe-Operator in den PHP-Kern und ergänzt eine standardkonforme URI-Erweiterung, Änderungen an unveränderlichen Objekten mit clone(), array_first(), arr…
