Návrh přidat do filtrovacího rozšíření PHP výčtové typy Filter\Filter a Filter\Flag v hlasování neuspěl: dva hlasy pro, šestnáct proti. K přijetí potřeboval dvoutřetinovou většinu a hlasování se zavřelo 4. listopadu v jednu hodinu ráno. Hlavní výtka zněla, že u dvou příznaků naráz by se stejně muselo sáhnout na celé číslo za výčtem.
Balíček nette/application vyšel ve verzi 3.3.1. Parametr akce, renderu, signálu i persistentní vlastnost presenteru smí mít nově typ výčtu s hodnotou: framework údaj z adresy na prvek výčtu převede sám a do odkazu zapíše jeho hodnotu. Starší verze z téhož výčtu udělala v adrese dvojici name a value.
Správce balíčků Composer vydal 10. listopadu 2026 verze 2.11.2 a 2.2.32 se třemi novými bezpečnostními hlášeními. Nejvážnější z nich se týká automatických sestavení, která instalují závislosti z cizí úpravy souboru composer.lock, a přepínače --no-scripts ani --no-plugins proti ní nepomůžou.
Bezpečnostní tým PHP vydal 21. října 2026 opravné verze 8.2.35, 8.3.36, 8.4.27 a 8.5.12. Zavírají dvě chyby jádra jazyka, CVE-2026-109618 a CVE-2026-109619, obě se známkou 9,2. Vznikají tím, jak PHP uklízí paměť po přerušeném požadavku, a za určitých podmínek vedou ke spuštění kódu bez přihlášení.
Čtveřice funkcí, které v PHP převádějí čísla mezi soustavami, dnes neplatný znak přeskočí a vrátí výsledek složený ze zbytku vstupu. Hlasování o návrhu, který z toho dělá výjimku, běží od 16. října do 1. listopadu a míří na PHP 8.7.
Sjoerd Langkemper navrhl pro PHP novou volbu PASSWORD_BCRYPT_SHA256, která má odstranit hranici 72 bajtů u bcryptu. Přebírá postup z pythonové knihovny Passlib a původní bcrypt ponechává beze změny. Návrh z počátku října je zatím v diskusi, schválené vydání nemá.
Sentry vydalo 24. září knihovnu Sentry PHP 4.32.0. Běhové prostředí, ve kterém se požadavky překrývají, jí nově smí dodat vlastní úložiště kontextu. Do té doby měl SDK jeden kontext na celý proces, takže dva souběžné požadavky si uměly pomíchat logy i metriky.
Doctrine ORM 3.7.0 vyšlo 7. září 2026 a přineslo druhý způsob stránkování. CursorPaginator posouvá výpis podle hodnot sloupců, podle kterých je dotaz seřazený, místo aby databázi říkal, kolik řádků má přeskočit. Dosavadní třída Paginator je označená za zastaralou a zmizí v příští velké verzi.
Aplikace za reverzní proxy nevidí adresu návštěvníka přímo a musí ji vyčíst z hlavičky, kterou proxy k požadavku připojí. Nette Http do verze 3.4.0 bralo z hlavičky Forwarded první položku, jenže tu tam nezapsala proxy, nýbrž klient. Vydání 3.4.1 z 27. srpna 2026 čte řetěz od opačného konce a aplikacím nastaveným přes rozšíření DI hlavičku Forwarded ve výchozím stavu zakazuje.
PHPStan od vydání 2.2.10 zakládá paralelní procesy rozvětvením toho, který analýzu řídí, místo aby pro každý spouštěl další PHP. Ušetří tím načtení analyzátoru v každém procesu a část paměti nechá sdílenou. Podmínky jsou tři: unixový systém, nativní rozšíření PHPStan Turbo v očekávané verzi a vypnutý OPcache i JIT.
Vývojáři PHP vydali 13. srpna první betu verze 8.6. Je v ní návrh, který mění, jak se z funkcí nad streamy dozvíte o chybě: u vlastního kontextu jde místo varování zapnout výjimku nebo tiché ukládání chyb, které se pak vyzvednou jako objekty. Ostrá verze je v plánu na 19. listopadu.
Podpis DKIM má příjemci zaručit, že se zpráva cestou nezměnila. Knihovna Nette Mail do něj ale psala nepovinný údaj o délce těla, kvůli kterému podpis pokrýval jen zprávu do určitého bajtu a cokoli za ním zůstalo mimo. Verze 4.2.0 z 27. července 2026 ten údaj vypustila a přidala další věci kolem doručitelnosti.
