Écosystème — The Daily Commit
L’Éditorial
6 novembre 2026 — Tout le monde parle du modèle qui a déniché CVE-2026-109618 et CVE-2026-109619. Le chiffre qui dérange davantage, c'est celui de Cisco : environ la moitié du PHP exposé sur Internet tourne sur des versions qui ne reçoivent plus de correctifs de sécurité. L'IA a rendu la découverte bon marché. Le déploiement, lui, reste lent, et personne ne peut le confier à un modèle.
L’Éditorial
5 novembre 2026 — Les exploits php2shell ne laissent rien dans tes logs. Tu ne vois que ce que l'attaquant fait ensuite, donc la détection repose sur le fait que www-data ne fasse presque jamais rien d'intéressant. C'est un choix d'architecture qu'on peut fa…
Versions
PHP.NET RELEASES, 5 novembre 2026 — Le projet PHP a tagué PHP 8.6.0RC5 — une préversion de la future branche 8.6 avec 103 entrées de changelog dans 34 composants.
L’Éditorial
7 novembre 2026 — Laravel 13.38 introduit PreventStaleDatabaseReads, un middleware qui envoie les lectures d'un utilisateur vers le primaire pendant deux secondes après une écriture. C'est pratique et ça vaut le coup de l'activer. Mais l'outil le plus honnête de cette version, c'est DB::usingWritePdo(), parce qu'il t'oblige à dire, à l'endroit même de l'appel, quelles lectures ont besoin de données fraîches. Aucune heuristique ne remplace ce savoir-là.
L’Éditorial
Les correctifs PHP2Shell sont sortis le 21 octobre, et beaucoup d'équipes ne savent toujours pas quel binaire PHP a répondu à leur dernière requête. Kai défend l'idée que l'interpréteur est ta dépendance la plus importante et qu'il mérite l…
L’Éditorial
Quand PHP2Shell est tombé, le projet PHP a publié en urgence des correctifs source pour 7.4, 8.0 et 8.1, des branches qu'il avait déjà mises à la retraite. Sois reconnaissant, puis lis ce geste correctement. Ta prochaine CVE critique se jou…
The Lead · L’Éditorial
Les builders fluides de Rule ont fait les gros titres, mais la ligne de Laravel 13.36 sur laquelle j'agirais en premier, c'est Worker::$flushStickyConnections.
8 novembre 2026 — Elle est désactivée par défaut pour ne rien casser dans les apps qui comptent sur l'ancien comportement. Je pense que tu devrais l'activer, parce qu'un job qui ne marche que si un autre job est passé avant dans le même processus cache une dépendance sur laquelle tu finiras par tomber.
L’Éditorial
Le projet PHP a annoncé à l'avance les correctifs critiques de CVE-2026-109618 et CVE-2026-109619, avec une date et une heure UTC, sans dévoiler les détails. C'était un marché honnête. Le problème, c'…
L’Éditorial
Deux failles critiques du cœur de PHP, CVE-2026-109618 et CVE-2026-109619, n'ont été corrigées que pour les branches 8.2 à 8.5. Ceux qui tournent encore en 7.4, 8.0 ou 8.1 se retrouvent à durcir leurs…
L’Éditorial: Ta vitesse de patch dépend de ta suite de tests, pas de ton niveau d'inquiétude B2
L’Éditorial: Tu as corrigé le bug upload_progress ? Laisse quand même la fonctionnalité désactivée B2
L’Éditorial: Le patch PHP, c'est la partie facile. Retrouver chaque PHP qui tourne, c'est ça le vrai boulot B2
L’Éditorial: Ton app devrait annoncer sa version de PHP bien avant qu'un bulletin de sécurité ne la réclame B2
L’Éditorial: Ton patch PHP ne compte qu'une fois les anciens workers morts B2
Versions: Laravel 13.38 fiabilise la lecture des données B2
Sécurité: Deux failles critiques de PHP attribuées à une recherche par IA B2
Sécurité: Codex d’OpenAI vérifie les versions PHP exposées par un site B2
Sécurité: Wazuh surveille les suites d’attaque après les failles PHP B3
RFC Watch: Pattern matching PHP : clés absentes et entiers stricts B3
Sécurité: La crise de PHP montre comment l'IA accélère l'exploitation des failles connues B3
Sécurité: L’équipe sécurité de PHP répond aux rumeurs sur PHP2Shell B3
Sécurité: OffSeq observe PHP2Shell avant le correctif B3
Sécurité: setup-php fournit des builds corrigés pour PHP 5.3 à 8.7 B3
Sécurité: Un auteur de HN s’excuse après un signalement PHP prématuré B3
Sécurité: PHP2Shell laisse les anciennes branches sans correctif B3
L’Éditorial: PHP2Shell le prouve : ton binaire PHP a sa place dans ton dépôt, à côté de composer.lock B4
Sécurité: PHP : un guide rappelle les contrôles côté hébergeur B4
Versions: Composer 2.11 RC1 renforce la sécurité des dépendances B4
Sécurité: Les tests ne confirment pas une exploitation simple de PHP B4
Sécurité: PHP corrige deux failles RCE critiques du moteur B4
"All the Code That's Fit to Ship" · The Daily Commit · Édition écran · Mentions légales · Politique de confidentialité