Una publicación de Hacker News sitúa el 22 de octubre de 2026 a las 18:00 CEST un anuncio de PHP sobre dos vulnerabilidades de ejecución remota de código, ambas con una puntuación CVSS de 10.0. Cita CVE-2026-109618 y CVE…
Symfony 6.4 ha llegado a su parche número 48, y la tanda de esta semana corrige problemas de seguridad en Yaml y HttpFoundation, además de un fallo de zona horaria en Clock. Los equipos de Laravel suelen esperar a que su…
El guard de API basado en tokens de Laravel permitía acceder sin autenticación a cuentas existentes en MySQL y MariaDB cuando se enviaba una credencial que no era una cadena. La vulnerabilidad tiene una puntuación CVSS d…
Una publicación en r/PHP describe CVE-2026-108082 como un problema de ReDoS en Symfony. Según el texto, una sola petición puede mantener la CPU ocupada durante varios segundos. El fragmento no indica qué versiones de Sym…
Laravel 13.38.0 llegó el 20 de octubre de 2026 para la rama 13.x. Esta actualización de mantenimiento modifica la validación, las relaciones de Eloquent, las consultas de base de datos, las colas, las notificaciones, el …
El RFC que declaró obsoleto PECL no rompió nada ni fijó ningún plazo, así que la mayoría dejaremos el pecl install donde está. Creo que es un error. Las carencias de PIE son reales pero pequeñas, y cada Dockerfile que ca…
RoadRunner 3 ya está disponible con el regreso a Semantic Versioning y un nombre común para los paquetes PHP, roadrunner/*. La versión requiere PHP 8.2 o posterior, incorpora funciones para HTTP, jobs, proxy, Redis y gRP…
El resumen de Symfony del 12 al 18 de octubre de 2026 informa de tareas de mantenimiento en cuatro ramas y de parches de seguridad para Yaml y HttpFoundation. Symfony UX 3.6 incorpora herramientas experimentales. El proy…
Laravel 13.36, publicado en octubre de 2026, incorpora builders fluidos para más reglas de validación y añade DB::olap() para cargas analíticas en entornos Vitess compatibles, como PlanetScale. La versión también cambia …
El registro detallado de FrankenPHP 1.13.0 documenta cinco correcciones de seguridad, dos de ellas de gravedad alta. La versión incorpora Caddy 2.11.7, Mercure 1.0, recargas de configuración seguras, compatibilidad con P…
Manticore es un compilador ahead-of-time para PHP 8.5+ con backend LLVM y ya puede compilar aplicaciones Symfony. Esta etapa cubre un esqueleto Symfony sin Doctrine y aplicaciones sencillas de Symfony Console. Su servido…
En septiembre de 2025, la comunidad PHP recomendó PIE, el PHP Installer for Extensions, para instalar extensiones que no forman parte del núcleo. PIE 1.5.2 compila y activa paquetes de Packagist, mientras PECL sigue func…
mir, un analizador escrito en Rust que lee psalm.xml, baselines y etiquetas @psalm-*, revisa Laravel y Symfony en unos dos segundos, cuando a Psalm le cuesta casi un minuto. La velocidad es el titular. Lo importante de v…
Symfony 5.4.54 corrige CVE-2026-109449 en el componente ExpressionLanguage al limitar la profundidad de anidamiento de las expresiones. La versión de mantenimiento también mejora la gestión de la caché y el escape de car…
Laravel 13.37.0 llegó el 16 de octubre con correcciones para las colas, Eloquent y el acceso a bases de datos. queue:failed incorpora ahora la opción --queue, y queue:forget admite varios identificadores. La Image API añ…
Pest 5.3.2 tiene un fallo en su nuevo sistema de particionado equilibrado por tiempo. Al combinar la ejecución paralela con el particionado, el ejecutor omite todas las pruebas PHPUnit sin mostrar ningún aviso. El proble…
Symfony 5.4.54 llegó el 15 de octubre de 2026 como versión de seguridad de la rama 5.4. Corrige CVE-2026-109449 en ExpressionLanguage, CVE-2026-108082 en HttpFoundation y CVE-2026-109413 en Yaml. También refuerza el trat…
Alexandre Daubois explica cómo el equipo independiente de seguridad de PHP clasifica los avisos, los reproduce en distintas plataformas y asigna CVE sin depender de GitHub. Desde el 1 de julio publicó 15 CVE y cerró 106 …
Laravel 13.36.0 incorpora builders fluidos para todas las reglas de validación que antes solo tenían sintaxis de cadena. La versión también añade el cambio temporal a cargas OLAP en PlanetScale y Vitess, el reinicio opci…
Symfony publicó la versión 6.4.48 el 14 de octubre. Las notas detalladas incluyen cambios en HttpClient, DependencyInjection, HttpKernel, Messenger, Yaml, Clock y Security. Corrigen casos límite de fechas y horario de ve…
Un RFC de PHP en discusión propone dos opciones de activación independientes para json_decode() y json_validate(). JSON_ALLOW_COMMENTS permitiría comentarios de línea y de bloque. JSON_ALLOW_TRAILING_COMMAS aceptaría una…
Route::query() se llevará la atención, pero el cambio importante de Laravel 13.35 es más discreto. Schedule::alwaysOnOneServer() y las form requests estrictas a nivel global permiten que una sola línea de configuración s…
Inertia.js 3.9.0 permite controlar usePoll() y router.poll() en pestañas ocultas con background: pause, throttle o continue. La versión identifica las restauraciones del historial en los eventos navigate, vacía la caché …
Laravel publicó la versión v12.70.0 del framework el 13 de octubre. La pull request #61838 corrige problemas de consultas y se atribuye a @taylorotwell. El backport en #61871 incorpora EncodedParameter desde #61610 a la …
PHP 8.6 sigue prefiriendo lanzar un error antes que adivinar con educación, y para mí es lo mejor de esta versión. Hay una excepción: la aplicación parcial de funciones captura sus argumentos en el momento de crearse, y …
La CVE-2026-91768 afecta al procesamiento FastCGI del ajuste allowed_clients de PHP. La comprobación solo analiza 96 de los 128 bits de una dirección IPv6, por lo que una parte queda fuera de la comparación. El informe d…
Freek Van der Herten analiza una RFC de PHP 8.6 sobre los valores predeterminados de las propiedades readonly. El texto sitúa en contexto la restricción vigente desde hace cuatro años, explica por qué las propiedades de …
PHP 8.6.0 RC3, etiquetado el 8 de octubre de 2026, sitúa la aplicación parcial de funciones en el centro de la versión. Las pruebas de migración deben cubrir sobre todo la validación estricta de argumentos, los nuevos va…
Casi un año después de que saliera PHP 8.5, todo el mundo sigue hablando de |>. Yo creo que lo que más disgustos te va a ahorrar es la nueva extensión URI, que por fin parsea URLs según RFC 3986 y WHATWG. Los pipes dejan…
PHP 8.5 llegó el 20 de noviembre de 2025 con el operador pipe integrado en el lenguaje y una extensión URI basada en estándares. También añade clone() para actualizar copias inmutables, array_first(), array_last() y #[\N…
