Ökosystem — The Daily Commit
Leitartikel
6. November 2026 — Alle reden über das Modell, das CVE-2026-109618 und CVE-2026-109619 gefunden hat. Unangenehmer ist eine andere Zahl: Laut Cisco läuft etwa die Hälfte des aus dem Internet erreichbaren PHP auf Versionen, die keine Sicherheitsfixes mehr bekommen. KI hat das Finden billig gemacht. Das Ausrollen ist immer noch langsam, und das kann niemand an ein Modell abgeben.
Leitartikel
5. November 2026 — Die php2shell-Exploits hinterlassen nichts in deinen Logs. Du siehst nur, was der Angreifer danach tut, und deshalb hängt die Erkennung davon ab, dass www-data so gut wie nie etwas Interessantes macht. Das ist eine Designentscheidung, die w…
Releases
PHP.NET RELEASES, 5. November 2026 — Das PHP-Projekt hat PHP 8.6.0RC5 getaggt — eine Vorabversion des kommenden 8.6-Zweigs mit 103 Changelog-Einträgen in 34 Komponenten.
Leitartikel
7. November 2026 — Laravel 13.38 bringt PreventStaleDatabaseReads mit, eine Middleware, die die Lesezugriffe eines Users nach einem Schreibvorgang zwei Sekunden lang auf den Primary legt. Praktisch, und du solltest sie einschalten. Das ehrlichere Werkzeug im Release ist aber DB::usingWritePdo(), denn damit sagst du direkt an der Aufrufstelle, welche Reads frische Daten brauchen. Eine Heuristik ersetzt dieses Wissen nicht.
→ weiter: Zusammenfassung & Quelle
Leitartikel
Die Fixes für PHP2Shell sind seit dem 21. Oktober draußen, und viele Teams können immer noch nicht sagen, welches PHP-Binary ihren letzten Request beantwortet hat. Kai hält den Interpreter für deine wichtigste Abhängigkeit und findet, dass …
Leitartikel
Als PHP2Shell aufschlug, hat das PHP-Projekt Notfall-Patches im Quellcode für 7.4, 8.0 und 8.1 veröffentlicht, also für Branches, die es längst in Rente geschickt hatte. Sei dankbar, aber versteh die Geste richtig. Über deine nächste kritis…
The Lead · Leitartikel
Die Schlagzeilen gehörten den fluent Rule-Buildern, aber die Zeile in Laravel 13.36, um die ich mich zuerst kümmern würde, ist Worker::$flushStickyConnections.
8. November 2026 — Sie ist standardmäßig aus, damit bei Apps, die darauf bauen, nichts kaputtgeht. Ich finde, du solltest sie einschalten: Ein Job, der nur funktioniert, wenn vorher ein anderer Job im selben Prozess lief, hat eine versteckte Abhängigkeit, über die du früher oder später stolperst.
→ weiter: Zusammenfassung & Quelle
Leitartikel
Das PHP-Projekt hat die kritischen Fixes für CVE-2026-109618 und CVE-2026-109619 vorab angekündigt, mit Datum und UTC-Uhrzeit, und die Details zurückgehalten. Das war ein fairer Deal. Das Problem: Vie…
Leitartikel
Zwei kritische Lücken im PHP-Core, CVE-2026-109618 und CVE-2026-109619, wurden nur für 8.2 bis 8.5 gepatcht. Wer noch auf 7.4, 8.0 oder 8.1 sitzt, härtet jetzt Konfigurationsdateien gegen einen Bug, d…
Leitartikel: Wie schnell du patchst, entscheidet deine Testsuite, nicht deine Sorge B2
Leitartikel: upload_progress-Bug gepatcht? Lass das Feature trotzdem aus B2
Leitartikel: Der PHP-Patch ist der leichte Teil. Jede laufende PHP-Instanz zu finden, ist die eigentliche Arbeit B2
Leitartikel: Deine App sollte ihre PHP-Version melden, lange bevor ein Advisory danach fragt B2
Leitartikel: Dein PHP-Patch zählt erst, wenn die alten Worker tot sind B2
Releases: Laravel 13.38 verbessert konsistente Datenzugriffe B2
Security: Bericht meldet zwei kritische PHP-Lücken nach KI-Forschung B2
Security: OpenAI prüft per Codex, ob eine Website eine riskante PHP-Version preisgibt B2
Security: Wazuh überwacht Folgeaktivitäten nach kritischen PHP-Lücken B3
RFC-Watch: PHP-Pattern-Matching: Streit um Schlüssel und Integer B3
Security: PHP-Krise zeigt, wie KI Angriffe auf bekannte Schwachstellen beschleunigt B3
Security: PHP-Sicherheitsteam ordnet die PHP2Shell-Gerüchte ein B3
Security: OffSeq registriert PHP2Shell-Anfrage vor dem Fix B3
Security: Gepatchte setup-php-Builds decken PHP 5.3 bis 8.7 ab B3
Security: HN-Autor entschuldigt sich für frühen PHP-RCE-Beitrag B3
Security: PHP2Shell lässt alte PHP-Zweige ohne Sicherheitsfix B3
Leitartikel: PHP2Shell zeigt: Dein PHP-Binary gehört ins Repo, direkt neben die composer.lock B4
Security: PHP-Leitfaden betont Prüfungen der Laufzeitumgebung B4
Releases: Composer 2.11 RC1 bringt Sicherheits- und Resolver-Updates B4
Security: Tests bestätigen keinen einfachen Angriff auf die PHP-Lücke B4
Security: PHP behebt zwei kritische RCE-Lücken im Laufzeitsystem B4
"All the Code That's Fit to Ship" · The Daily Commit · Bildschirm-Ausgabe · Impressum · Datenschutz