Les correctifs PHP2Shell sont sortis le 21 octobre, et beaucoup d'équipes ne savent toujours pas quel binaire PHP a répondu à leur dernière requête. Kai défend l'idée que l'interpréteur est ta dépendance la plus importan…
Quand PHP2Shell est tombé, le projet PHP a publié en urgence des correctifs source pour 7.4, 8.0 et 8.1, des branches qu'il avait déjà mises à la retraite. Sois reconnaissant, puis lis ce geste correctement. Ta prochaine…
Le projet PHP a annoncé à l'avance les correctifs critiques de CVE-2026-109618 et CVE-2026-109619, avec une date et une heure UTC, sans dévoiler les détails. C'était un marché honnête. Le problème, c'est que beaucoup d'é…
CVE-2026-110264 est un dépassement d'entier dans Onigmo qu'un visiteur anonyme peut atteindre via le moteur de rendu Org-mode de GitLab. Il faut patcher aujourd'hui, évidemment. La leçon plus difficile concerne les régla…
Deux failles critiques du cœur de PHP, CVE-2026-109618 et CVE-2026-109619, n'ont été corrigées que pour les branches 8.2 à 8.5. Ceux qui tournent encore en 7.4, 8.0 ou 8.1 se retrouvent à durcir leurs fichiers de config …
Le 21 octobre, on a eu droit dans le même après-midi à un contournement du token guard de Laravel et à deux failles PHP notées 9.2 au CVSS. Huit jours plus tard, les équipes qui ont patché vite ne s'en souciaient pas plu…
Le correctif du bug mémoire de session.upload_progress était prévu pour le 21 octobre, et la plupart des équipes vont mettre à jour puis passer à autre chose. C'est la mauvaise conclusion. Une option par défaut que presq…
Deux failles notées CVSS 9.2 dans le moteur PHP, corrigées dans 8.5.12, 8.4.27, 8.3.36 et 8.2.35, et aucun contournement complet. La mise à jour prend quelques minutes. Ce qui manque vraiment à la plupart des équipes, c'…
Deux failles d'exécution de code à distance sans authentification dans le runtime PHP, CVE-2026-109618 et CVE-2026-109619, sont apparues le 21 octobre, et d'un coup beaucoup d'équipes n'avaient aucune réponse rapide à un…
Deux failles PHP notées 9.2 sont tombées le 21 octobre, et les versions corrigées sont faciles à citer. La vraie question, c'est de savoir si tu peux prouver quel binaire répond aux requêtes, là, maintenant, sur chaque v…
Deux failles du moteur notées 9.2, corrigées dans PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, ont touché des serveurs dont le code applicatif était irréprochable. Kai défend une réponse culturelle : les équipes applicatives de…
Symfony 6.4 en est à sa 48e version corrective, et la fournée de cette semaine corrige des failles de sécurité dans Yaml et HttpFoundation, ainsi qu'un bug de fuseau horaire dans Clock. Les équipes Laravel attendent en g…
La RFC qui a déprécié PECL n'a rien cassé et n'a fixé aucune échéance, alors la plupart d'entre nous vont laisser pecl install là où il est. Je pense que c'est une erreur. Les manques de PIE sont réels mais minimes, et c…
mir, un analyseur en Rust qui lit psalm.xml, les baselines et les tags @psalm-*, vérifie Laravel et Symfony en deux secondes environ, là où Psalm met près d'une minute. La vitesse fait les gros titres. Mais le vrai sujet…
Beam, le nouveau modèle de Reflection, arrive avec 501B paramètres, une licence Apache 2.0 et des scores SWE-Bench qui vont remplir toutes les présentations du mois. Le détail qui m'intéresse est plus modeste : un réglag…
Google, OpenAI et Anthropic ont tous sorti un modèle solide à 2 $ en entrée et 10 $ en sortie par million de tokens, à quelques jours d'intervalle. Pour Kai, le prix cesse donc d'être le critère décisif. Le code PHP qui …
Les équipes PHP débattent de chaque ligne de composer.lock, puis laissent leur éditeur mettre à jour une douzaine d'extensions en arrière-plan sans que personne ne regarde. Cette année a montré qu'une version d'extension…
PyTorch 2.14 apporte des noyaux plus rapides sur Mac, un nouveau backend GEMM et un entraînement distribué tolérant aux pannes. Le changement qui me trotte dans la tête est plus modeste : sur Python 3.15, torch.compile r…
Route::query() va attirer l'attention, mais le changement important de Laravel 13.35 est plus discret. Schedule::alwaysOnOneServer() et les form requests strictes en global permettent à une seule ligne de config de rempl…
PHP 8.6 préfère systématiquement lever une erreur plutôt que deviner poliment, et c'est selon moi ce que cette version a de mieux. Avec une exception : l'application partielle de fonctions capture ses arguments au moment…
Presque un an après la sortie de PHP 8.5, tout le monde parle encore de |>. Pour moi, la fonctionnalité qui t'évitera le plus d'ennuis, c'est la nouvelle extension URI, qui parse enfin les URL selon la RFC 3986 et le WHA…
Mistral Large 4 obtient 38 sur l'index d'Artificial Analysis. Il fait jeu égal avec un modèle seize fois moins cher par tâche, et la propre plateforme de Mistral héberge un concurrent plus fort. Pour Kai, c'est la meille…
Laravel 13.35 introduit Route::query(), qui donne enfin au tout nouveau verbe HTTP QUERY une vraie place dans le routeur. Pour moi, les nouveaux endpoints chargés de filtres doivent l'adopter tout de suite, pas un jour. …
Tout le monde cite le build de VS Code passé de 77.8 secondes à 7.5. Ce qui m'intéresse davantage, c'est ce qui a été livré sans : une API programmatique stable. Pour PHP, dont l'analyse statique vit de ses écosystèmes d…
Symfony 8.2 rend la configuration aux composants : 29 nouveaux bundles, chacun avec sa propre racine de config, et les anciennes clés framework: continuent de fonctionner grâce à des alias. Ce dernier point est généreux,…
Symfony 8.2 arrive avec son lot de nouveautés, mais celle qui me tient le plus à cœur tient en une seule option de transport : l'outbox transactionnelle. Dès lors qu'éviter la double écriture se règle en une ligne de con…
Mago, la boîte à outils PHP écrite en Rust, formate, linte, analyse et surveille l'architecture depuis un seul binaire, et sa vitesse n'est pas un mythe. Kai défend l'idée de lui confier dès maintenant les vérifications …
React 19.3 permet aux transitions sans rapport entre elles de se rendre chacune de leur côté au lieu d'être liées. Les devs PHP reconnaîtront l'idée : c'est ainsi que les workers FPM empêchent depuis des années une requê…
La Partial Function Application arrive dans PHP 8.6 et rend enfin l'opérateur pipe agréable à utiliser. Elle est aussi facile à mal lire. Un partial évalue ses arguments fixes une seule fois, au moment où tu le crées, et…
Angular v22 a rendu stables les Signal Forms et les signaux asynchrones construits autour de resource. Pour les équipes PHP qui font tourner un frontend Angular au-dessus de Laravel ou Symfony, c'est le moment d'arrêter …
