La PHP Foundation a lancé une nouvelle série de rapports trimestriels pour rendre plus visible le travail de son équipe de développement cœur, composée de 13 contractants répartis dans 8 pays. Cette première édition couvre le deuxième trimestre 2026.

Arnaud Le Blanc, avec Ilija Tovilo, a mis au point une solution générale à deux sources récurrentes de bugs du moteur liées aux gestionnaires d'erreurs et aux destructeurs ; un RFC à venir traitera une troisième source liée, visant une version postérieure à PHP 8.6. Sur le projet STF, il est passé, avec Jakub Zelenka, des hooks d'E/S à une dépendance de ces hooks.

David Carlier a ajouté le support des tampons bruts AF_PACKET dans l'extension sockets de PHP (PR #21631), permettant d'accéder nativement aux sockets de paquets Linux bas niveau sans passer par des appels shell ou FFI — comblant un écart avec C, Python, Go et Rust. L'accès nécessite CAP_NET_RAW/root, ce qui n'élargit pas la surface d'attaque pour du code ordinaire.

Derick Rethans a mené à bien la migration de toute l'infrastructure php.net vers un nouveau fournisseur de CDN ; plus de détails seront donnés dans une annonce séparée.

Gina Banyard a réduit les allocations de chaînes inutiles dans ext/phar, exploré l'unification du code de vérification des types (lié à sa proposition de types génériques interface-only), et testé le remplacement du gestionnaire d'objet get_constructor() par un attribut, ce qui pourrait un jour permettre d'utiliser new MyClass(...) comme callable. Elle prépare aussi le RFC de dépréciation massive pour PHP 8.6 et a donné plusieurs conférences, dont sa première à une conférence académique, UNSOUND.

Ilija Tovilo s'est concentré sur le tri de sécurité, a poursuivi le projet de flux STF, et a expérimenté une représentation zval sur 8 octets — une piste à un stade très précoce mais potentiellement décisive pour réduire l'empreinte mémoire et améliorer les performances. Il a aussi fait passer la précision de l'outil de couverture gcovr d'environ 54 % à 71 %.

Jakub Zelenka a livré une nouvelle API d'erreurs de flux, une API de polling (Io\Poll), et des améliorations OpenSSL/TLS telles que la reprise de session configurable, le support PSK et l'exposition du statut cryptographique. Il a également corrigé une faille de sécurité dans le point de terminaison de statut FPM ainsi que plusieurs fuites mémoire et bugs de flux.

L'équipe PIE dirigée par James Titcumb prépare la version 1.5 : installation de plusieurs extensions simultanément, un flag --select pour les installations non surveillées, une réinstallation sans effet pour une extension déjà présente, et une commande pie install --from-lock, en plus du support des anciens remplacements PECL, de l'adoption de l'API providers, et de la maintenance continue de la série 1.4.x avec des correctifs de sécurité GHSA.

Joe Watkins a construit un analyseur syntaxique expérimental multi-moteurs nommé phathom (disponible sur GitHub) destiné à cartographier le code du cœur PHP à travers les dépôts et la documentation pour aider les nouveaux contributeurs ; le projet est actuellement en pause.

Máté Kocsis a fait accepter le RFC 'Followup improvements for ext/uri', ajoutant des classes Builder pour les URI/URL, déjà largement implémentées. Il prépare aussi le RFC query_params, qui pourrait transformer la gestion des paramètres de requête, avec un vote attendu au prochain trimestre, et a prototypé une extension UUID v7.

Saki Takamachi s'est occupée de correctifs et de revues de code avant de partir en congé familial.

Shivam Mathur a intégré le support de la chaîne d'outils Visual Studio 2026 (VS18) dans l'infrastructure de build Windows avant PHP 8.6, mis à jour des dépendances clés (OpenSSL, curl, SQLite, Apache, ICU, libssh2) pour corriger des vulnérabilités connues, résolu des plantages PGO et ZTS spécifiques à Windows, et maintenu php-windows-builder pour les sorties PECL.

Volker Dusch a fondé la PHP Ecosystem Security Team, analysant plus de 500 paquets Composer populaires et presque tous les frameworks majeurs, et a transmis plus de 100 correctifs concrets aux mainteneurs.

Alexandre Daubois a rejoint l'équipe comme 13e contractant, trop récemment pour un bilan ce trimestre.

Côté direction, la directrice exécutive Elizabeth Barron et le directeur de la collecte de fonds Ben Marks ont mené une tournée d'écoute, élaboré un plan stratégique pour le reste de l'année, intégré de nouveaux contractants, sponsors et membres du conseil, et lancé le programme PHP Ambassador, des réunions trimestrielles du conseil consultatif, l'enquête State of PHP, ainsi qu'une newsletter mensuelle relancée.