PHP 8.5.7 – bezpečnostní vydání s opravami uriparseru php release
PHP 8.5.7 bylo vydáno 2. června 2026 jako bezpečnostní release a tým doporučuje aktualizovat co nejdříve. Oprava řeší CVE-2026-44927 (zkrácení rozdílu ukazatelů na int na více místech v knihovně uriparser před verzí 1.0.2) a CVE-2026-44928, kde funkce z rodiny EqualsUri mohla chybně vyhodnotit dvě nestejné URI jako shodné.
Jde o pokračování série uriparser problémů napříč větví 8.5: 8.5.6 opravilo CVE-2026-42371 (numerické zkrácení při porovnání textových rozsahů, uriparser < 1.0.1) a 8.5.1 řešilo CVE-2025-67899 (neomezená rekurze a spotřeba zásobníku, uriparser ≤ 0.9.9). PHP 8.5, které přineslo pipe operátor a nové URI rozšíření, dostává bugfixy i bezpečnostní záplaty až do 31. 12. 2027.
Symfony 8.1 – HTTP-less aplikace, method-based commands a komponenta Tui symfony release
Symfony 8.1 vyšlo v květnu 2026 (podpora do ledna 2027) a soustředí se na DX, asynchronní architektury a CLI. Klíčovou novinkou jsou HTTP-less aplikace – plnohodnotný DI kontejner bez závislosti na HttpKernelu, což zjednodušuje neHTTP a worker-orientované aplikace. Přibyly method-based commands (více konzolových příkazů sdílejících závislosti v jedné třídě) a DeepCloner pro rychlé a paměťově úsporné hluboké klonování objektových grafů.
Vlajkovou lodí je nová komponenta Tui pro tvorbu bohatých, interaktivních fullscreen terminálových UI, která doplňuje Console. Mezi sloučenými změnami z poslední doby je přejmenování ContainerAwareInterface na ContainerProviderInterface (8.1), oprava #[AsMessage] na abstraktních třídách v Messengeru a různé opravy mapování vlastností v ObjectMapperu. Ve vývoji jsou i LoggableMiddleware pro Messenger a výběr prostředí pro #[AsCronTask] a #[AsPeriodicTask].
A Week of Symfony #1016 a bezpečnostní UX vydání symfony
Týden 15.–21. června 2026 přinesl 50 sloučených pull requestů (41 v kódu, 9 v dokumentaci), uzavřeno bylo 26 issue a přispělo 24 autorů. Symfony kniha byla aktualizována pro verzi 8.1 ve více jazycích, dokončila se série „New in Symfony 8.1", pokračuje „New in Twig 4.0" (sandbox, expression parsers) a odstartovala nová spotlight série „Symfony AI".
Byly vydány nové verze Symfony UX 3.2.0 a 2.36.1 řešící dvě bezpečnostní chyby. Z dalších oprav: SecurityBundle odstranil únik stavu v LogoutUrlGenerator v async prostředích, AssetMapper opravil zastaralou dev cache v dlouhoběžících runtime, Mailer zaregistroval MicrosoftGraphTransportFactory (7.4) a ve větvi 8.2 přibyla podpora kovariantních šablon v TypeInfo. Připomeňme i SymfonyOnline June 2026 (11.–12. 6., AI track + Symfony Deep Dive).
Doctrine: ORM 3.6.7, DBAL 4.4.3 a odložený konec života ORM 2 doctrine release
Doctrine pokračuje v pravidelné údržbě: ORM 3.6.7 vyšlo 25. května 2026 a DBAL 4.4.3 dne 20. března 2026. Hlavní verze ORM 3 a DBAL 4 byly uvolněny v únoru 2024 jako vyvrcholení více než dekády práce, větev 3/4 dostává nové funkce i opravy.
Tým Doctrine přehodnotil plány konce života ORM 2. Původně mířil na EOL v únoru 2026, ale adopce ORM 3 dosahovala podle instalačních čísel na Packagistu jen zhruba 25–30 % oproti ORM 2, takže byl konec podpory odložen, aby měly projekty více času na migraci. Doporučuje se přechod na ORM 3, ale starší aplikace nezůstanou bez záchranné lhůty.
PHPStan 2.2: unsealed array shapes a bezpečnější klíče polí tooling release
PHPStan 2.2 (vydáno v květnu 2026) přináší „Unsealed Array Shapes, Safer Array Keys, and More!". Mezi novinkami jsou neuzavřené tvary polí (pole mohou mít extra klíče) a nové typy decimal-int-string a non-decimal-int-string, analýza smyček pro páry goto-label s neignorovatelným pravidlem pro skok na nedefinovaný label a rozlišení reflexe metod u dynamických statických volání kvůli kontrole čistoty a vedlejších efektů.
Vydání 2.2.2 z června 2026 opravilo hlášení chyb v traitech, pády při validaci composer.json a zlepšilo zužování typu klíčů polí. PHPStan plně podporuje PHP 8.5 od 13. února 2026. Z ekosystému ladění: Composer 2.9 dosáhl konce života 28. 5. 2026 (aktuální je 2.10.1) a API Platform Core 4.3.11 vyšlo 12. 6. 2026.