GiveWPs erster Versuch, CVE-2026-82222 zu beheben, hat das bösartige Objekt erkannt und danach trotzdem die ursprüngliche Payload zurückgegeben. Diese eine Zeile ist die ganze Lehre aus dem CVSS-10.0-Bug: allowed_classes…
Laravel hat v12.69.2 veröffentlicht, einen Patch für den 12.x-Zweig. Er setzt einen Standardwert für memoryExceededExitCode unter Laravel Cloud und korrigiert Closure-Rückgabetypen in withFreshQueryLog() und askWithCompl…
Fuzz, ein Paket von Jon Purvis, bringt coverage-gesteuertes Fuzz-Testing über nikics PHP-Fuzzer in Pest 5. Es mutiert Seed-Strings, verfolgt die Codeabdeckung ohne Xdebug und meldet Abstürze als fehlgeschlagene Tests. Ei…
CVE-2026-82222 betrifft GiveWP bis Version 4.16.7.1, ein WordPress-Spendenplugin mit über 100.000 Installationen. Ein nicht authentifizierter Angreifer verkettet einen Registrierungs-Bypass, einen schwachen Unserialize-H…
Symfony 7.3 hat Votern ein Vote-Objekt und addReason() spendiert; 7.4 und 8.0 legen extraData plus zwei Twig-Funktionen nach, die die komplette Access-Entscheidung offenlegen. Die Boolean-Ära der Autorisierung ist leise …
Timo Poppinga hat auf der Internals-Liste eine Diskussion zu einem RFC eröffnet, der OpenSSL-Provider-Algorithmen generisch in ext/openssl zugänglich machen soll. Ziel ist die Unterstützung von Post-Quanten-Algorithmen w…
Taylor Otwell hat bei den meisten Open-Source-Paketen von Laravel die GitHub Issues deaktiviert. Nutzer sollen Bugs einem Coding-Agenten beschreiben und stattdessen Pull Requests einreichen. Das Haupt-Repository von Lara…
Der |> in PHP 8.5 ist ein Feature mit einer einzigen Regel: Wert links rein, erstes Argument rechts raus. Die lauteste Beschwerde sind die Klammern, die du um jede Arrow Function mit mehreren Argumenten brauchst. Ich hal…
Die Abstimmung über ein PHP-RFC läuft: Ein optionales PREG_THROW_ON_ERROR-Flag soll preg_*-Funktionen PCRE-Fehler als \PregException werfen lassen, statt preg_last_error() prüfen zu müssen. Die Abstimmung endet am 18.09.…
Der neue Pipe-Operator in PHP 8.5 erlaubt verkettete Funktionsaufrufe in Ausführungsreihenfolge statt verschachtelt von innen nach außen. Die Syntax kompiliert zu denselben Opcodes wie klassische Aufrufe und verursacht k…
FrankenPHP 1.12.7 ist erschienen. Das Patch-Release behebt einen Fehler im Classic-Modus, bei dem Ausgaben nach fastcgi_finish_request() still verworfen wurden, korrigiert eine Thread-Metrik, reduziert Logging bei Client…
Ein französischer Erfahrungsbericht über den Umzug einer Sulu-Site auf FrankenPHP misst 30 bis 40 ms Ersparnis pro Request, null wiederholte MySQL-Verbindungen und einen fiesen 404 in Produktion. Kai argumentiert, dass d…
Der wöchentliche PHP-Internals-Rückblick behandelt einen Unicode-Bezeichner-Scan über eine halbe Million Dateien, Nick Sdots RFC zur Beendigung der PEAR-Unterstützung mit nur noch einem gepflegten Paket, den Streit um Va…
Forte von John Koster parst Laravel-Blade-Dateien in einen typisierten Syntaxbaum, der sich abfragen, umschreiben und bytegenau wieder ausgeben lässt. Der Laravel-News-Artikel zeigt Codemods, Audits und CI-Checks sowie d…
Laravel 13.27 kann endlich aufhören, gebundene Werte in QueryException-Messages zu interpolieren, und damit hören deine Logs, failed_jobs-Zeilen und APM-Traces auf, versehentlich Kundendaten zu sammeln. Ich sage: Schalt …
Sebastian Bergmann argumentiert, dass die digitale Souveränität Europas längst auf PHP-Anwendungen wie TYPO3, Drupal und Nextcloud beruht, und verweist auf den 108 Millionen Euro teuren Government Site Builder und 770 Dr…
Laravel 13.30 bringt chunkBy() zum Gruppieren benachbarter Collection-Elemente, leitet Storage::path() durch den Flysystem-Pfadnormalisierer (Traversal wirft nun PathTraversalDetected), gibt den Stop-Grund des Queue-Work…
Laravel v12.69.0 deaktiviert HTML in den Tooltips der Exception-Seite standardmäßig und prüft den Passwort-Hash gegen das gespeicherte Cookie vor der Authentifizierung. Beide Änderungen stammen von Mior Muhammad Zaki (cr…
Robert Landers hat die Diskussion über ein nameof()-RFC für PHP eröffnet. Das Konstrukt würde den Namen einer Variablen, Property, Methode, Funktion oder Konstante als String liefern, überall dort nutzbar, wo ein String-…
Brent Roose, PHP Developer Advocate bei JetBrains und Schöpfer des Tempest-Frameworks, ist dem Board of Directors der PHP Foundation beigetreten und besetzt den JetBrains-Platinum-Sponsor-Sitz. Er löst Roman Pronskiy ab,…
PHPStreamServer 0.9, das bislang größte Update des in PHP geschriebenen Application Servers, setzt nun FFI voraus, erlaubt dynamisch registrierte Worker und geplante Tasks und bringt einen gehärteten Unix-Socket-Message-…
Elf Laravel-Releases in unter drei Monaten, und alle reden über die Image-Komponente. Ich finde, das Upgrade verdienen die defensiven Neuerungen: maskierte Query-Bindings, refreshForUpdate() für pessimistische Locks, que…
Inertia.js v3.7.0 stattet die <Form>-Komponente mit dem Attribut cancelOnUnmount und einer cancel-Methode aus, um laufende Übertragungen beim Entfernen des Formulars oder per Klick abzubrechen. usePoll liefert jetzt eine…
In knapp drei Monaten veröffentlichte Laravel elf Minor-Releases von 13.17 bis 13.27. Zu den wichtigsten Neuerungen zählen die native Illuminate\Image-Komponente, queue:pause --all zum gleichzeitigen Pausieren aller Queu…
Symfony hat Version 6.4.45 zusammen mit 7.4.18 und 8.1.6 veröffentlicht und dabei dutzende Härtungs-Fixes in HttpClient, HttpFoundation, Security und Mailer/Notifier zusammengefasst. Die meisten Änderungen blockieren feh…
FrankenPHP verschmilzt Nginx und PHP-FPM zu einer einzigen Binary auf Caddy-Basis, und der Worker-Modus hält deine App zwischen den Requests im Speicher. Kai argumentiert: Die Persistenzfalle, vor der alle warnen, ist in…
Alle Laravel-Starter-Kits bauen nun mit Vite+, der einheitlichen Toolchain, die im Juli 2026 als Beta erschien. Die Umstellung über laravel/maestro#60 ersetzt ESLint und Prettier durch ein einziges vp-CLI für Linting, Fo…
PHP 8.5 gibt dir einen curl-Share, der zwischen FPM-Requests überlebt, und die Benchmark-Schlagzeile verspricht 88 Prozent weniger Request-Zeit. Ich halte die Zahl für das Uninteressanteste daran. Die Funktion lohnt das …
Die Ausgabe vom 26. August von This Week In PHP Internals behandelt die Debatte über LLM-verfasste Mailinglisten-Beiträge, Sepehr Mahmoudis neues RFC array_str_contain() mit einhelligem Widerstand, eine Roadmap für die i…
Das PHP-Projekt hat zwei neue Patch-Versionen veröffentlicht: PHP 8.5.10 und PHP 8.4.25. Beide Releases setzen den regulären Wartungszyklus der aktuell unterstützten stabilen Zweige fort und stehen auf php.net zum Downlo…
