Denní přehled PHP, Symfony a ekosystému · pondělí 13. července 2026
Mám všechna data. Generuji výstup.
TL;DR
PHP 8.2.32, 8.3.32, 8.4.23 a 8.5.8 vydány 2. července jako bezpečnostní patche (CVE-2026-14355 – heap corruption v openssl_encrypt)
PHP 8.6.0 Alpha 1 je k dispozici pro testování; Alpha 2 plánována na 16. července
PHP 8.6 přináší clamp(), cache pro first-class callables, IO Polling API (namespace Io\) a TAILCALL VM pro Windows
Symfony „A Week of Symfony #1019" (6.–12. 7.): 48 PR mergnutých, nový příkaz messenger:show, AssetMapper DX vylepšení
Symfony 8.2 aktivně vyvíjeno: disable-redirect-on-logout v Security, asociativní csv_headers v Serializer
Twig 3.28.0 vydán 3. července – vylepšení maker a sandbox
PHPStan 2.2.5 vydán 5. července; phpstan-phpunit přeskočil z 2.0.16 na 2.0.18 (8. července)
Pest 4.7.5 vydán 6. července, vyžaduje PHP ^8.3 a PHPUnit ^12.5.30
Laravel 13.19.0 (8. července): HTTP QUERY metoda, reduceInto() pro kolekce, counted() na Str/Stringable
Symfony 8.2 plánován na listopad 2026; podpora Symfony AI série spuštěna na blogu
PHP 8.2–8.5: Koordinované bezpečnostní vydání (CVE-2026-14355) phprelease
Dne 2. července 2026 vydal PHP tým synchronizovaně opravné verze napříč všemi aktivně podporovanými větvemi: PHP 8.2.32, 8.3.32, 8.4.23 a 8.5.8. Všechny jsou označeny jako bezpečnostní vydání a uživatelé jsou vyzváni k okamžité aktualizaci. Klíčová oprava se týká CVE-2026-14355 – heap memory corruption chyby v rozšíření OpenSSL, která se projevuje při volání openssl_encrypt() s šifrováním AES-WRAP-PAD. Chyba umožňovala poškození paměti a teoreticky mohla vést ke spuštění libovolného kódu.
Bezpečnostní záplatování proběhlo v rekordně krátké době a pokrylo čtyři větve najednou, což demonstruje zralost release procesu PHP Foundation. PHP 8.2 je zároveň připomínkou blížícího se konce aktivní podpory – větev přechází do security-only módu. Changelog pro každou verzi je dostupný na php.net a detailně popisuje konkrétní opravené CVE i doprovodné bugfixy.
Rovněž 2. července byl spuštěn vývojový cyklus PHP 8.6 vydáním první testovací alpha verze. Nejdiskutovanější novinkou je Io\Poll API – zcela nový namespace Io\ s nativní podporou asynchronního I/O přímo v PHP jádře bez nutnosti PECL rozšíření. API zahrnuje SocketPollHandle pro sokety, CurlPollHandle pro libcurl, TimerHandle pro časovače a SignalHandle pro signály OS. Jde o největší infrastrukturní změnu v PHP od zavedení typů v PHP 7.
Druhou výraznou novinkou je built-in funkce clamp(), která vrací hodnotu omezenou na zadaný rozsah – nahrazuje opakující se vzor max($min, min($max, $value)). Přibyla také cache pro first-class callable instance (při opakovaném vytváření callables v těsných smyčkách engine nyní sdílí instance místo alokace nových) a podpora TAILCALL VM optimalizace pro Windows buildy. Alpha 2 je naplánována na 16. července 2026, feature freeze a Beta 1 pak na 13. srpna. GA verze PHP 8.6 je očekávána v listopadu 2026.
A Week of Symfony #1019 (6.–12. července 2026) symfony
Nejtěžší týden v symfony repozitáři za posledních měsíc: 48 pull requestů mergnutých (31 v kódu, 17 v dokumentaci), 25 uzavřených issues a příspěvky od 22 autorů s 5 573 přidanými a 2 979 smazanými řádky. Vývojově nejaktivnější větev je Symfony 8.2. Z konkrétních novinek: Security komponenta dostala možnost zakázat redirect po odhlášení (disable_redirect_on_logout), AssetMapper nyní ignoruje kompilované assety v debug módu (výrazné DX vylepšení), a Serializer komponent rozšířil podporu csv_headers o asociativní mapování pro přeuspořádání sloupců při enkódování.
Ve frontě čekají na merge přinejmenším tři zajímavé PR: [Validator] Make Validation invokable for use with the pipe operator (#64844), který přinese plnou kompatibilitu validace s novým pipe operátorem z PHP 8.5; nový příkaz messenger:show (#64829) pro prohlížení čekajících zpráv v Messenger frontách; a možnost deaktivovat RejectRedeliveredMessageMiddleware (#64866). Větev 6.4 dostala opravy v Cache, Scheduler (fix pro chybu, kdy jitter způsoboval vynechání naplánovaných spuštění) a Console.
Dne 3. července 2026 byl vydán Twig 3.28.0, šablonovací engine pevně svázaný s ekosystémem Symfony. Tato verze přináší vylepšení dvou klíčových oblastí: maker (macros) a sandbox funkcionality. Sandbox v Twigu slouží jako bezpečnostní vrstva pro šablony pocházející od nedůvěryhodných zdrojů – například od uživatelů CMS systémů – a jeho zdokonalení zpřísňuje ochranu před zneužitím šablonovacích volání k nežádoucím operacím.
Twig 3.28.0 navazuje na sérii „New in Twig 4.0" (vývojová větev), která byla v uplynulých týdnech průběžně publikována na Symfony blogu a zaměřuje se mimo jiné na nové expression parsery a rozšířené sandboxování. Aktuálně stabilní větev 3.x zůstává doporučenou volbou pro produkční projekty. Vydání bylo současně zmíněno v A Week of Symfony #1018 jako hlavní release týdne (29. 6. – 5. 7.).
PHPStan 2.2.5 a Pest 4.7.5: tooling ekosystém v pohybu toolingrelease
PHPStan 2.2.5 byl vydán 5. července 2026 jako opravné vydání v rámci řady 2.2.x. Doprovodně bylo 8. července aktualizováno rozšíření phpstan/phpstan-phpunit z verze 2.0.16 na 2.0.18, které zajišťuje správnou typovou inferenci pro PHPUnit a Pest testovací kód – konkrétně ho využívá i samotné php.net pro své interní CI (bump byl zaznamenán v php-webmaster repozitáři). PHPStan 2.0 – vydaný v listopadu 2024 – přinesl Level 10, dedikovaný typ list pro pole a 50–70% redukci spotřeby paměti na velkých projektech; verze 2.2.x na tyto základy stavějí incremental vylepšeními.
Pest 4.7.5 byl vydán 6. července a vyžaduje PHP ^8.3.0 a PHPUnit ^12.5.30. Testovací framework Pest nadále roste v popularitě jako expresivní alternativa k PHPUnit se syntaxí inspirovanou JavaScriptovým Jest/Vitest. Verze 4.x již plně integruje PHPUnit 12 a přináší nativní podporu PHPStan přes balíček mrpunyapal/peststan (zahrnut jako dev-závislost). Pro projekty cílící na PHP 8.4+ a Symfony 8.x je kombinace PHPStan 2.2 + Pest 4.7 aktuálně nejmodernější dostupnou testovací sadou.
Laravel 13.19.0 byl vydán 8. července 2026 a přináší podporu HTTP QUERY metody napříč HTTP klientem i testovacími helpery. Nová metoda Http::query() umožňuje odesílat QUERY požadavky (parametry jsou přenášeny v těle požadavku, nikoliv v URL), čímž se Laravel řadí k frameworkům plně implementujícím emerging HTTP standard. Testovací strana dostala helpery query() a queryJson(). Kolekce se rozrostly o metodu reduceInto(), která mění akkumulátor přímo (mutace vs. immutable reduce) – praktické pro budování komplexních datových struktur bez zbytečného kopírování.
Třída Str a Stringable dostaly helper counted() pro gramaticky správné pluralizování s počtem. Nejvýznamnější infrastrukturní přírůstek je podpora hromadného odesílání zpráv přes AWS SQS pomocí SendMessageBatch API, což výrazně snižuje počet API volání při vysokém objemu zpráv. Fronta fake nyní umožňuje také inspekci rezervovaných jobů. Laravel 13 má aktivní podporu do 17. března 2028; paralelně probíhají aktualizace lokálního prostředí Laravel Herd pro Windows s novými funkcemi pro správu sites a aktualizacemi PHP verzí.