Die PHP Foundation veröffentlicht ab sofort quartalsweise Berichte über die Arbeit ihres Kernentwicklerteams, um mehr Transparenz zu schaffen. Die erste Ausgabe behandelt Q2 2026 mit 13 Vertragsentwicklern aus 8 Ländern.

Arnaud Le Blanc entwickelte gemeinsam mit Ilija Tovilo eine grundlegende Lösung für zwei langjährige Engine-Bugs rund um Error-Handler und Destruktoren; ein RFC für eine dritte verwandte Fehlerquelle folgt, vorgesehen für eine Version nach PHP 8.6. Bei der STF-Streams-Arbeit mit Jakub Zelenka wechselte er von I/O-Hooks zu einer Abhängigkeit dieser Hooks.

David Carlier brachte Unterstützung für AF_PACKET-Rohpuffer in die Sockets-Extension (PR #21631), sodass PHP direkt mit Linux-Paket-Sockets arbeiten kann, statt auf Shell-Aufrufe oder FFI zurückzugreifen – ein Vorteil gegenüber C, Python, Go und Rust. Da CAP_NET_RAW/root nötig ist, wird die Angriffsfläche für normalen Code nicht vergrößert.

Derick Rethans schloss die Migration der gesamten php.net-Infrastruktur zu einem neuen CDN-Anbieter ab; weitere Details folgen in einer separaten Ankündigung.

Gina Banyard reduzierte unnötige String-Allokationen in ext/phar, untersuchte eine Vereinheitlichung der Typprüfung (im Zusammenhang mit ihrem Vorschlag für interface-only generische Typen) und erprobte, den get_constructor()-Objekthandler durch ein Attribut zu ersetzen, was künftig new MyClass(...) als Callable erlauben könnte. Zudem bereitet sie das Mass-Deprecation-RFC für PHP 8.6 vor und hielt Vorträge, darunter erstmals auf der akademischen Konferenz UNSOUND.

Ilija Tovilo kümmerte sich um Sicherheits-Triage, arbeitete am STF-Stream-Projekt weiter und experimentierte mit einer 8-Byte-zval-Repräsentation – ein frühes, aber potenziell folgenreiches Vorhaben zur Speicher- und Performance-Optimierung. Außerdem steigerte er die Genauigkeit des Coverage-Tools gcovr von rund 54 % auf 71 %.

Jakub Zelenka lieferte eine neue Stream-Errors-API, eine Polling-API (Io\Poll) sowie OpenSSL/TLS-Verbesserungen wie konfigurierbare Session-Resumption, PSK-Unterstützung und Crypto-Status-Abfragen. Zudem behob er eine Sicherheitslücke im FPM-Status-Endpunkt sowie mehrere Memory-Leaks und Stream-Bugs.

Das PIE-Team unter James Titcumb bereitet Version 1.5 vor: gleichzeitige Installation mehrerer Extensions, ein --select-Flag für unbeaufsichtigte Installationen, No-Op bei bereits installierten Extensions sowie pie install --from-lock, dazu PECL-Platzhalter-Unterstützung, die Providers-API und weiterhin Pflege der 1.4.x-Reihe samt GHSA-Sicherheitsfixes.

Joe Watkins baute einen experimentellen Multi-Engine-Parser namens phathom (auf GitHub verfügbar), der PHP-Core-Code über Repos und Dokumentation hinweg verknüpfen soll; das Projekt ruht derzeit.

Máté Kocsis brachte das RFC 'Followup improvements for ext/uri' zur Annahme, das Builder-Klassen für URIs/URLs einführt und größtenteils schon umgesetzt ist. Zusätzlich bereitet er das query_params-RFC vor, das die Behandlung von Query-Parametern grundlegend verändern könnte; die Abstimmung wird im nächsten Quartal erwartet. Außerdem entwickelte er einen Proof-of-Concept für eine UUID-v7-Extension.

Saki Takamachi kümmerte sich um Bugfixes und Reviews und befindet sich derzeit in Elternzeit.

Shivam Mathur integrierte Unterstützung für die Toolchain Visual Studio 2026 (VS18) in die Windows-Build-Infrastruktur vor PHP 8.6, aktualisierte zentrale Abhängigkeiten (OpenSSL, curl, SQLite, Apache, ICU, libssh2) und schloss damit bekannte Sicherheitslücken, behob Windows-spezifische PGO- und ZTS-Abstürze und pflegte php-windows-builder für PECL-Releases.

Volker Dusch gründete das PHP Ecosystem Security Team, scannte über 500 populäre Composer-Pakete sowie fast alle großen Frameworks und übermittelte Maintainern mehr als 100 konkrete Fixes.

Alexandre Daubois kam als 13. Vertragsentwickler hinzu, ist aber zu neu für Updates in diesem Bericht.

Auf Führungsebene führten Executive Director Elizabeth Barron und Fundraising-Direktor Ben Marks eine Zuhör-Tour durch, erstellten einen Strategieplan für den Rest des Jahres, holten neue Vertragsentwickler, Sponsoren und Board-Mitglieder an Bord und starteten das PHP-Ambassador-Programm, quartalsweise Advisory-Board-Meetings, die State-of-PHP-Umfrage sowie einen wiederbelebten monatlichen Newsletter.