El resumen de PHP Internals del 1 de octubre de 2026 reúne 14 debates. El RFC de bcrypt divide sobre riesgo de compatibilidad. Sjoerd Langkemper quiere depreciar entradas superiores a 72 bytes en 8.7, luego rechazarlas con ValueError en 8.8. En FreshRSS, un nonce de 64 caracteres precedía la contraseña y consumía la ventana completa de bcrypt (CVE-2025-68402). Kamil Tekiela y Tim Düsterhus sitúan la validación de longitud en la aplicación. Tim notó que el límite cuenta octetos, así que contraseñas no ASCII lo alcanzan antes. Rowan Tommins defendió la API password_* para hacer el manejo seguro accesible sin pericia algorítmica. Robert Chapin mostró que una contraseña truncada valida contra el hash de la completa. Tim considera la solución peor que el bug. Derick Rethans se opuso. Langkemper preguntó si cambiar primero el hash por defecto ayudaría.

El prototipo CompiledRegex de Gina P. Banyard recibió 18 respuestas. Larry Garfield, Casper Langemeijer, Jordi Kroon y Juris Evertovskis piden dejar «Compiled» y usar solo Regex. El diseño actual tiene ocho banderas booleanas. Juris señaló que los argumentos nombrados ayudan legibilidad; Gina prefiere un enum set (PHP carece de uno), Jordi Boggiano quiere una factory que acepte las letras modificadoras conocidas. Osama Aldemeery recordó que compilación exitosa no garantiza éxito en matching. Tim Düsterhus sugirió que la clase podría cambiar globalmente throw-on-error. Aldemeery podría aplazar su RFC sobre excepciones Regex hasta el voto de Banyard.

Io\Terminal de Pratik Bhujel apunta a 8.7. Lee nativamente tamaño de terminal, modo raw con auto-restauración, teclas individuales y entrada oculta. Symfony Console ya aprobó un pull request que usa la extensión si está disponible. Bhujel adoptó mantener el modo raw activo mientras exista un token terminal, reiniciarlo cuando el último desaparece. La versión 0.3 hace de Terminal la interfaz y SystemTerminal la clase concreta. Larry Garfield criticó false-on-error y pidió soporte para mocking. El RFC obtiene los 14 días completos antes de anuncio de intent-to-vote.

Time\Instant ganó toInstant() en DateTime y DateTimeImmutable. Salida ISO mantiene ahora ceros finales para mostrar precisión. Tim Düsterhus y Derick Rethans no escribirán RFC de testing-clocks porque dudan que pertenezca al core; Internals está invitado a presentar uno. Mirco Babin planteó ocho objeciones, incluyendo conflicto de nombres: Time\Clock y PSR-20 definen ambos now(). Tim quiere mantener now() y discutirá posible SystemClock::get() con Derick. También cuestionó si valores con precisión de minutos para horarios de buses cuentan como instants.

El RFC de Weilin Du para arrays abreviados convierte =$x en 'x' => $x en arrays, destructuring y foreach. Sintaxis comenzó con dos-puntos, cambió a signo igual en una hora porque dos-puntos chocan con ternario. Sebastian Bergmann exigió evidencia de código real y advirtió que coma faltante podría silenciosamente transformar un programa válido en otro. David Carlier y Anton Smirnov señalaron compact y extract. Christian Schneider usa un patch local desde hace años. Du citó Composer, Laravel, PHPUnit y Symfony, pero ahora se inclina por retirarlo.

IO Hooks de Jakub Zelenka hace código bloqueante concurrente sin reescritura. PHP tiene Fibers desde 8.1, pero llamadas bloqueantes congelan todo el proceso, obligando a AMPHP, ReactPHP y Revolt a construir sus propias capas I/O. IO Hooks entrega operaciones de stream, socket y curl bloqueantes más llamadas sleep a un provider event-loop, que suspende la Fiber hasta completarse. Sin provider, PHP se comporta hoy; con uno, sleep(1) en una Fiber deja que otros corran. El RFC depende de Polling API Additions, que llena huecos en Poll API 8.6—sockets, timers, señales. Ambos están en fase temprana sin respuestas aún.

La lista Internals removió a Sepehr Mahmoudi. Derick Rethans lo advirtió 15 sept. por posts generados por IA y volumen de threads. Moderador Ilija Tovilo impuso 21 sept. un thread nuevo/mes y tres correos/semana, lo llamó final. Cuando Mahmoudi publicó un RFC intl_date_format, Rethans bloqueó la dirección de php.net, revocó acceso wiki y canceló suscripción 28 sept.

PHP 8.6.0RC2 se lanzó después de descartar RC1 por defecto de empaquetado; RC2 es ahora el primer candidato, RC3 vencido 8 oct. Actualizaciones de seguridad para 8.5, 8.4, 8.3, 8.2: PHP 8.5.11, 8.4.26, 8.3.35, 8.2.34.

Otros RFC se movieron. El RFC number-base de Langkemper ahora lanza Exception simple en lugar de ValueError para entrada inválida—datos malos no señalan bug del programa. intval sin cambios. Juliette Reinders Folmer quiere depreciar prefijo b string (resto PHP 6); Tim propuso agregarlo a déprecations 8.7. Pedro Veloso flotó #[Pure] aplicado por el motor, pero Larry Garfield dice necesita memoización o similar—análisis estático no puede hacerlo. Karoly Negyesi publicó pre-RFC e implementación para implements … by, delegando métodos de interfaz a propiedad estilo Kotlin. Alexander Danilov halló post-quantum OpenSSL funciona bastante en PHP; ofreció pequeños PRs para huecos. RFC End PEAR Endorsement atascado en discusión; voto 28 sept. nunca abrió. Semana siete seguida sin RFC en votación.