Calif Research détaille CVE-2026-109618 et CVE-2026-109619 dans une analyse technique. PHP a corrigé ces failles dans sa mise à jour de sécurité du 21 octobre 2026. Le rapport, réalisé avec OpenAI et Wiz, explique commen…
Le projet PHP a publié de nouvelles versions ponctuelles pour quatre branches : PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 et PHP 8.2.35. L’annonce ne fournit ni journal des changements ni informations de sécurité.
Laravel a publié le 21 octobre la version v12.70.1 du framework, un correctif ciblé pour la branche 12.x. La release contient un commit, e09fc54, issu de la pull request #62027 de @valorin. Ce changement empêche l’échapp…
Un message publié sur Hacker News annonce pour le 22 octobre 2026 à 18 h CEST une communication PHP sur deux failles d'exécution de code à distance, chacune créditée d'un score CVSS de 10.0. Les identifiants cités sont C…
Symfony 6.4 en est à sa 48e version corrective, et la fournée de cette semaine corrige des failles de sécurité dans Yaml et HttpFoundation, ainsi qu'un bug de fuseau horaire dans Clock. Les équipes Laravel attendent en g…
Le guard d’API par token de Laravel permettait de se connecter sans authentification à un compte existant sur MySQL et MariaDB avec une valeur non textuelle. Cette faille, notée 9,2 au CVSS, est corrigée dans 12.68.0 et …
Une publication sur r/PHP présente CVE-2026-108082 comme une faille ReDoS affectant Symfony. Elle affirme qu’une seule requête peut monopoliser le processeur pendant plusieurs secondes. L’extrait ne précise ni les versio…
Laravel 13.38.0 est sorti le 20 octobre 2026 pour la branche 13.x. Cette mise à jour de maintenance touche la validation, les relations Eloquent, les requêtes SQL, les files d’attente, les notifications, le cache et les …
La RFC qui a déprécié PECL n'a rien cassé et n'a fixé aucune échéance, alors la plupart d'entre nous vont laisser pecl install là où il est. Je pense que c'est une erreur. Les manques de PIE sont réels mais minimes, et c…
RoadRunner 3 est disponible avec le retour au Semantic Versioning et un nom commun pour les paquets PHP, roadrunner/*. Cette version demande PHP 8.2 ou plus récent, apporte de nouvelles fonctions HTTP, jobs, proxy, Redis…
Le récapitulatif Symfony du 12 au 18 octobre 2026 signale des mises à jour de maintenance sur quatre branches et des correctifs de sécurité pour Yaml et HttpFoundation. Symfony UX 3.6 ajoute des outils expérimentaux. Le …
Publié en octobre 2026, Laravel 13.36 enrichit l’API de validation avec des builders fluides et ajoute DB::olap() pour les requêtes analytiques sur les environnements Vitess compatibles, notamment PlanetScale. La version…
La fiche détaillée de FrankenPHP 1.13.0 recense cinq correctifs de sécurité, dont deux failles classées élevées. Elle apporte aussi Caddy 2.11.7, Mercure 1.0, une validation sûre des rechargements, la compatibilité avec …
Manticore est un compilateur ahead-of-time pour PHP 8.5+ doté d’un backend LLVM. Il peut désormais compiler des applications Symfony. L’étape actuelle couvre un squelette Symfony sans Doctrine et des applications simples…
En septembre 2025, la communauté PHP a recommandé PIE, le PHP Installer for Extensions, pour installer les extensions non intégrées à PHP. PIE 1.5.2 compile et active des paquets distribués via Packagist, tandis que PECL…
mir, un analyseur en Rust qui lit psalm.xml, les baselines et les tags @psalm-*, vérifie Laravel et Symfony en deux secondes environ, là où Psalm met près d'une minute. La vitesse fait les gros titres. Mais le vrai sujet…
Symfony 5.4.54 corrige CVE-2026-109449 dans le composant ExpressionLanguage en limitant la profondeur d'imbrication des expressions. La version de maintenance améliore aussi la gestion du cache et l'échappement des carac…
Laravel 13.37.0 est sorti le 16 octobre avec des corrections pour les files d’attente, Eloquent et l’accès aux bases de données. queue:failed reçoit désormais l’option --queue, et queue:forget accepte plusieurs identifia…
Pest 5.3.2 comporte un défaut dans son nouveau mécanisme de sharding équilibré dans le temps. La combinaison de l’exécution parallèle et du sharding fait disparaître tous les tests PHPUnit sans avertissement. Le problème…
Symfony 5.4.54 est sorti le 15 octobre 2026 comme version de sécurité de la branche 5.4. La mise à jour corrige CVE-2026-109449 dans ExpressionLanguage, CVE-2026-108082 dans HttpFoundation et CVE-2026-109413 dans Yaml. E…
Alexandre Daubois explique le traitement des signalements par l’équipe de sécurité indépendante de PHP. Elle les reproduit sur plusieurs plateformes et attribue ses propres CVE sans attendre GitHub. Depuis le 1er juillet…
Laravel 13.36.0 ajoute une syntaxe fluide à toutes les règles de validation qui ne disposaient que d’une forme texte. La version introduit aussi le basculement OLAP pour PlanetScale et Vitess, la remise à zéro facultativ…
Symfony a publié la version 6.4.48 le 14 octobre. Les notes détaillées couvrent HttpClient, DependencyInjection, HttpKernel, Messenger, Yaml, Clock et Security. Elles corrigent notamment des cas limites liés aux dates et…
Un RFC PHP actuellement discuté propose deux options d’activation distinctes pour json_decode() et json_validate(). JSON_ALLOW_COMMENTS autoriserait les commentaires de ligne et de bloc. JSON_ALLOW_TRAILING_COMMAS accept…
Route::query() va attirer l'attention, mais le changement important de Laravel 13.35 est plus discret. Schedule::alwaysOnOneServer() et les form requests strictes en global permettent à une seule ligne de config de rempl…
