Los parches de PHP2Shell salieron el 21 de octubre y muchos equipos todavía no saben decir qué binario de PHP respondió su última petición. Kai defiende que el intérprete es tu dependencia más importante y merece el mism…
Cuando llegó PHP2Shell, el proyecto PHP publicó parches de código fuente de emergencia para 7.4, 8.0 y 8.1, ramas que ya había retirado. Agradécelo y luego interpreta bien el gesto. Tu próximo CVE crítico se decidirá por…
El proyecto PHP anunció por adelantado los parches críticos para CVE-2026-109618 y CVE-2026-109619, dio fecha y hora UTC y se guardó los detalles. Era un trato justo. El problema es que muchos equipos pasaron la espera l…
CVE-2026-110264 es un desbordamiento de enteros en Onigmo al que un visitante anónimo puede llegar a través del renderizador de Org-mode de GitLab. Parchea hoy, evidentemente. La lección difícil va de valores por defecto…
Dos fallos críticos del núcleo de PHP, CVE-2026-109618 y CVE-2026-109619, solo recibieron parches para las ramas 8.2 a 8.5. Eso deja a quienes siguen en 7.4, 8.0 y 8.1 endureciendo ficheros de configuración contra un fal…
El 21 de octubre nos dejó en la misma tarde un bypass del token guard de Laravel y dos fallos de PHP con CVSS 9.2. Ocho días después, los equipos que parchearon rápido no se preocupaban más que nadie: tenían una suite de…
El parche para el fallo de memoria de session.upload_progress estaba previsto para el 21 de octubre, y la mayoría de los equipos actualizarán y se olvidarán del tema. Ese es el final equivocado. Una opción por defecto qu…
Dos fallos con CVSS 9.2 en el motor de PHP, corregidos en 8.5.12, 8.4.27, 8.3.36 y 8.2.35, y sin ninguna mitigación completa. Actualizar lleva minutos. Lo que de verdad le falta a la mayoría de los equipos es una lista f…
El 21 de octubre aparecieron dos fallos de ejecución remota de código sin autenticación en el runtime de PHP, CVE-2026-109618 y CVE-2026-109619, y de repente muchos equipos no sabían responder rápido a una pregunta senci…
El 21 de octubre llegaron dos fallos de PHP con puntuación 9.2, y las versiones corregidas son fáciles de nombrar. Lo difícil es demostrar qué binario está respondiendo ahora mismo en cada vhost, cada servidor de staging…
Dos fallos del motor con una puntuación de 9.2, corregidos en PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, afectaron a servidores cuyo código de aplicación estaba impecable. Kai sostiene que la solución es cultural: los equipos …
Symfony 6.4 ha llegado a su parche número 48, y la tanda de esta semana corrige problemas de seguridad en Yaml y HttpFoundation, además de un fallo de zona horaria en Clock. Los equipos de Laravel suelen esperar a que su…
El RFC que declaró obsoleto PECL no rompió nada ni fijó ningún plazo, así que la mayoría dejaremos el pecl install donde está. Creo que es un error. Las carencias de PIE son reales pero pequeñas, y cada Dockerfile que ca…
mir, un analizador escrito en Rust que lee psalm.xml, baselines y etiquetas @psalm-*, revisa Laravel y Symfony en unos dos segundos, cuando a Psalm le cuesta casi un minuto. La velocidad es el titular. Lo importante de v…
Beam, de Reflection, llega con 501B parámetros, licencia Apache 2.0 y unas cifras en SWE-Bench que van a llenar todas las presentaciones de este mes. A mí me interesa un detalle más pequeño: un ajuste de esfuerzo de razo…
Google, OpenAI y Anthropic sacaron, con pocos días de diferencia, un modelo potente a $2 de entrada y $10 de salida por millón de tokens. Kai sostiene que el precio ya no decide nada. El código PHP que vale la pena escri…
Los equipos de PHP discuten cada línea de composer.lock y luego dejan que sus editores actualicen una docena de extensiones en segundo plano sin que nadie mire. Este año demostró que basta con una versión de una extensió…
PyTorch 2.14 trae kernels más rápidos para Mac, un nuevo backend de GEMM y entrenamiento distribuido tolerante a fallos. El cambio que no me saco de la cabeza es más pequeño: torch.compile en Python 3.15 ahora se niega a…
Route::query() se llevará la atención, pero el cambio importante de Laravel 13.35 es más discreto. Schedule::alwaysOnOneServer() y las form requests estrictas a nivel global permiten que una sola línea de configuración s…
PHP 8.6 sigue prefiriendo lanzar un error antes que adivinar con educación, y para mí es lo mejor de esta versión. Hay una excepción: la aplicación parcial de funciones captura sus argumentos en el momento de crearse, y …
Casi un año después de que saliera PHP 8.5, todo el mundo sigue hablando de |>. Yo creo que lo que más disgustos te va a ahorrar es la nueva extensión URI, que por fin parsea URLs según RFC 3986 y WHATWG. Los pipes dejan…
Mistral Large 4 obtiene 38 puntos en el índice de Artificial Analysis. Eso lo deja empatado con un modelo que cuesta dieciséis veces menos por tarea, y la propia plataforma de Mistral aloja un rival más fuerte. Kai sosti…
Laravel 13.35 trae Route::query(), que le da al nuevo método HTTP QUERY un sitio de primera en el router. Creo que los endpoints nuevos cargados de filtros deberían usarlo ya, no algún día. Sí, tus proxies, tu CDN y tu c…
Todo el mundo cita que la compilación de VS Code bajó de 77.8 segundos a 7.5. A mí me importa más lo que llegó sin ella: una API programática estable. Para PHP, cuyo análisis estático vive de sus ecosistemas de plugins, …
Symfony 8.2 devuelve la configuración a los componentes: 29 bundles nuevos, cada uno con su propia raíz de configuración, y las claves antiguas de framework: siguen funcionando gracias a alias. Eso último es un gesto gen…
Symfony 8.2 trae muchas novedades, pero la que más me importa es una sola opción de transporte: el outbox transaccional. Cuando evitar las escrituras dobles cuesta una línea de configuración, enviar al broker directament…
Mago, el conjunto de herramientas en Rust para PHP, formatea, hace linting, analiza y vigila la arquitectura desde un único binario, y su velocidad es real. Kai defiende que lo sensato es dejar que se encargue ya de las …
React 19.3 permite que las transiciones sin relación entre sí se rendericen cada una por su lado, en vez de ir atadas. Si vienes de PHP reconocerás la idea, porque es lo que llevan años haciendo los workers de FPM para q…
La aplicación parcial de funciones (Partial Function Application) llega con PHP 8.6 y por fin hace que el operador pipe sea cómodo de usar. También es fácil leerla mal. Una parcial evalúa sus argumentos fijos una sola ve…
Angular v22 ha declarado estables Signal Forms y las señales asíncronas basadas en resource. Para los equipos PHP que tienen un frontend Angular sobre Laravel o Symfony, es la señal para dejar de repartir reglas de valid…
