La PHP Foundation ha comenzado a publicar informes trimestrales sobre el trabajo de su equipo principal de desarrollo, compuesto por 13 contratistas repartidos en 8 países, con el fin de aumentar la transparencia. Esta primera entrega cubre el segundo trimestre de 2026.

Arnaud Le Blanc, junto con Ilija Tovilo, resolvió de forma general dos fuentes recurrentes de errores del motor relacionadas con los manejadores de errores y los destructores; un próximo RFC abordará una tercera fuente relacionada, pensado para una versión posterior a PHP 8.6. En el proyecto STF, junto con Jakub Zelenka, pasó de trabajar en hooks de E/S a una dependencia de dichos hooks.

David Carlier añadió soporte para búferes en bruto AF_PACKET en la extensión sockets de PHP (PR #21631), permitiendo trabajar directamente con sockets de paquetes de Linux de bajo nivel sin recurrir a llamadas de shell o FFI, cerrando así una brecha frente a C, Python, Go y Rust. Requiere CAP_NET_RAW/root, por lo que no amplía la superficie de ataque para código normal.

Derick Rethans completó la migración de toda la infraestructura de php.net a un nuevo proveedor de CDN; se prometen más detalles en un anuncio aparte.

Gina Banyard redujo asignaciones de cadenas innecesarias en ext/phar, exploró unificar el código de verificación de tipos (vinculado a su propuesta de tipos genéricos solo de interfaz) y probó sustituir el manejador de objetos get_constructor() por un atributo, lo que podría eventualmente permitir usar new MyClass(...) como callable. También prepara el RFC de deprecación masiva para PHP 8.6 y dio varias charlas, incluida su primera en una conferencia académica, UNSOUND.

Ilija Tovilo se centró en la triaje de seguridad, continuó el proyecto de flujos STF y experimentó con una representación zval de 8 bytes, una idea en fase muy temprana pero potencialmente relevante para reducir el uso de memoria y mejorar el rendimiento en general. También aumentó la precisión de la herramienta de cobertura gcovr de aproximadamente 54 % a 71 %.

Jakub Zelenka entregó una nueva API de errores de flujo, una API de sondeo (Io\Poll), y mejoras en OpenSSL/TLS como reanudación de sesión configurable, soporte PSK y exposición del estado criptográfico. También corrigió una vulnerabilidad de seguridad en el endpoint de estado de FPM y varias fugas de memoria y errores de flujo.

El equipo de PIE, liderado por James Titcumb, prepara la versión 1.5: instalación de varias extensiones a la vez, una bandera --select para instalaciones desatendidas, reinstalación sin efecto de extensiones ya instaladas, y el comando pie install --from-lock, además de soporte para sustitutos antiguos de PECL, adopción de la API de proveedores y mantenimiento continuo de la serie 1.4.x con correcciones de seguridad GHSA.

Joe Watkins construyó un analizador experimental multi-motor llamado phathom (disponible en GitHub) pensado para mapear el código del núcleo de PHP entre repositorios y documentación, ayudando a nuevos contribuyentes; el proyecto está actualmente en pausa.

Máté Kocsis logró la aceptación del RFC 'Followup improvements for ext/uri', que añade clases Builder para URIs/URLs y ya está mayormente implementado. Además prepara el RFC query_params, que podría transformar el manejo de parámetros de consulta en PHP, con votación prevista para el próximo trimestre, y creó un prototipo de extensión para UUID v7.

Saki Takamachi se encargó de correcciones de errores y revisiones antes de tomar licencia familiar.

Shivam Mathur incorporó soporte para la cadena de herramientas Visual Studio 2026 (VS18) en la infraestructura de compilación de Windows antes de PHP 8.6, actualizó dependencias clave (OpenSSL, curl, SQLite, Apache, ICU, libssh2) cerrando vulnerabilidades conocidas, resolvió fallos específicos de Windows en PGO y ZTS, y mantuvo php-windows-builder para los lanzamientos de PECL.

Volker Dusch fundó el PHP Ecosystem Security Team, analizando más de 500 paquetes populares de Composer y casi todos los frameworks principales, y compartió más de 100 correcciones concretas con los mantenedores.

Alexandre Daubois se unió como el decimotercer contratista, demasiado reciente para tener novedades en este informe.

En el ámbito directivo, la directora ejecutiva Elizabeth Barron y el director de recaudación de fondos Ben Marks realizaron una gira de escucha, elaboraron un plan estratégico para el resto del año, incorporaron nuevos contratistas, patrocinadores y miembros de la junta, y lanzaron el programa PHP Ambassador, reuniones trimestrales de la junta asesora, la encuesta State of PHP y un boletín mensual revivido.