Ecosistema — The Daily Commit
El Editorial
6 de noviembre de 2026 — Todo el mundo habla del modelo que encontró CVE-2026-109618 y CVE-2026-109619. El dato incómodo es otro: según Cisco, cerca de la mitad del PHP expuesto a internet corre en versiones que ya no reciben parches de seguridad. La IA ha abaratado el descubrimiento de fallos, pero desplegar sigue siendo lento, y esa parte no se le puede delegar a ningún modelo.
El Editorial
5 de noviembre de 2026 — Los exploits de php2shell no dejan nada en tus logs. Solo ves lo que hace el atacante después, así que la detección depende de que www-data casi nunca haga nada interesante. Eso es una decisión de diseño que podemos tomar ya. A veces nos cu…
Lanzamientos
PHP.NET RELEASES, 5 de noviembre de 2026 — El proyecto PHP ha etiquetado PHP 8.6.0RC5: una versión previa de la futura rama 8.6 con 103 entradas de changelog en 34 componentes.
El Editorial
7 de noviembre de 2026 — Laravel 13.38 trae PreventStaleDatabaseReads, un middleware que fija las lecturas de un usuario al primario durante dos segundos después de una escritura. Es práctico y merece la pena activarlo. Pero la herramienta más honesta de la versión es DB::usingWritePdo(), porque te obliga a decir en el propio punto de llamada qué lecturas necesitan datos frescos. Una heurística no sustituye saber eso.
El Editorial
Los parches de PHP2Shell salieron el 21 de octubre y muchos equipos todavía no saben decir qué binario de PHP respondió su última petición. Kai defiende que el intérprete es tu dependencia más importante y merece el mismo trato que composer…
El Editorial
Cuando llegó PHP2Shell, el proyecto PHP publicó parches de código fuente de emergencia para 7.4, 8.0 y 8.1, ramas que ya había retirado. Agradécelo y luego interpreta bien el gesto. Tu próximo CVE crítico se decidirá por lo rutinarias que s…
The Lead · El Editorial
Los builders fluidos de Rule se llevaron los titulares, pero lo primero que yo tocaría de Laravel 13.36 es Worker::$flushStickyConnections.
8 de noviembre de 2026 — Viene desactivado por defecto para no romper las apps que dependen del comportamiento anterior. Creo que deberías activarlo, porque un job que solo funciona si otro job se ejecutó antes en el mismo proceso tiene una dependencia oculta con la que tarde o temprano te vas a topar.
El Editorial
El proyecto PHP anunció por adelantado los parches críticos para CVE-2026-109618 y CVE-2026-109619, dio fecha y hora UTC y se guardó los detalles. Era un trato justo. El problema es que muchos equipos…
El Editorial
Dos fallos críticos del núcleo de PHP, CVE-2026-109618 y CVE-2026-109619, solo recibieron parches para las ramas 8.2 a 8.5. Eso deja a quienes siguen en 7.4, 8.0 y 8.1 endureciendo ficheros de configu…
El Editorial: La velocidad con la que parcheas depende de tu suite de tests, no de lo preocupado que estés B2
El Editorial: ¿Ya parcheaste el bug de upload_progress? Deja la función desactivada igualmente B2
El Editorial: El parche de PHP es lo fácil. El trabajo es encontrar cada PHP que está corriendo B2
El Editorial: Tu app debería informar de su versión de PHP mucho antes de que te lo pida un aviso de seguridad B2
El Editorial: Tu parche de PHP solo cuenta cuando los workers viejos están muertos B2
Lanzamientos: Laravel 13.38 refuerza la coherencia de los datos B2
Seguridad: Un informe atribuye dos fallos críticos de PHP a una investigación con IA B2
Seguridad: Codex de OpenAI comprueba las versiones de PHP que expone una web B2
Seguridad: Wazuh vigila la actividad posterior a las fallas críticas de PHP B3
RFC Watch: El RFC de PHP debate claves ausentes y tipos enteros B3
Seguridad: La crisis de PHP muestra cómo la IA acelera los ataques contra fallos conocidos B3
Seguridad: El equipo de seguridad de PHP responde a los rumores sobre PHP2Shell B3
Seguridad: OffSeq detecta actividad de PHP2Shell antes del parche B3
Seguridad: setup-php ofrece builds corregidos para PHP 5.3 a 8.7 B3
Seguridad: Un autor de HN se disculpa por un aviso prematuro sobre PHP B3
Seguridad: PHP2Shell deja sin parche a las ramas antiguas de PHP B3
El Editorial: PHP2Shell demuestra que tu binario de PHP debe vivir en tu repo, junto a composer.lock B4
Seguridad: PHP: guía de comprobaciones para los alojamientos B4
Lanzamientos: Composer 2.11 RC1 endurece la gestión de dependencias B4
Seguridad: Las pruebas no confirman un ataque sencillo contra PHP B4
Seguridad: PHP corrige dos fallos críticos de RCE en el runtime B4
"All the Code That's Fit to Ship" · The Daily Commit · Edición de pantalla · Información legal · Política de privacidad