Denní přehled PHP, Symfony a ekosystému · sobota 25. července 2026
Mám dostatek dat pro sestavení digestu.
TL;DR
PHP 8.2.32 / 8.3.32 / 8.4.23 / 8.5.8 vydány 7. července se záplatami CVE-2026-12184 a CVE-2026-14355 (heap corruption v openssl_encrypt)
PHP 8.6 Alpha 1 vyšla 2. července; feature freeze + Beta 1 plánován na 13. srpna, GA na 19. listopadu
RFC Partial Function Application pro PHP 8.6 přijata jednomyslně hlasováním 33:0
RFC Polling API (asynchronní I/O) pro PHP 8.6 rovněž přijata
Twig 3.28.0 vydána 3. července – přesné sledování sloupce chyb, dynamická makra, batch deprecations pro Twig 4.0
Symfony UX 3.3.0 vydána 15. července – první podpora Symfony Reprise v StimulusBundle, nové Shadcn komponenty Sonner a Combobox
A Week of Symfony #1020: nový AMPHP SQL Messenger transport, MetaWhatsApp bridge pro Notifier, SSR streaming
PHPStan 2.2.4 je aktuální patch série 2.2 (plná PHP 8.5 podpora, unsealed array shapes)
Doctrine DBAL zaznamenala aktualizaci na Packagist 21. července; ORM 3.6.7 je aktuální stable
SymfonyCon Warsaw 2026 – oznámeni první čtyři přednášející; nový kurz SymfonyCasts na upgrade na Symfony 8
PHP 8.2–8.5: koordinované bezpečnostní záplaty (7. července) phprelease
Dne 7. července 2026 vydal PHP projekt současně opravné verze 8.2.32, 8.3.32, 8.4.23 a 8.5.8 jako bezpečnostní release. Hlavní záplatou je CVE-2026-14355 – heap memory corruption v openssl_encrypt() při použití režimu AES-WRAP-PAD, která umožňovala potencionální zneužití vzdáleným útočníkem. Druhá sdílená chyba CVE-2026-12184 se týká obcházení ochrany adresářů v rozšíření Phar. Třetí oprava řeší chybu v Opcache Inheritance Cache (replay bug), který způsoboval nekonzistentní chování při dědičnosti tříd za ostrého provozu.
Všechny čtyři větve (8.2, 8.3, 8.4, 8.5) jsou aktuálně ve fázi aktivní bezpečnostní podpory. PHP 8.1 dosáhlo EOL v prosinci 2025. Hostingové platformy jako Pantheon záplatu nasadily automaticky během dnů od vydání. Správci vlastní infrastruktury by měli aktualizovat okamžitě – opravné tarball a Windows binárky jsou k dispozici na php.net.
PHP 8.6 vstoupilo do veřejné alfa fáze vydáním Alpha 1 dne 2. července 2026. Harmonogram počítá s feature freeze a Beta 1 dne 13. srpna; finální GA release je naplánován na 19. listopadu 2026. Nejdůležitějším přijatým RFC je Partial Function Application (v2), která prošla hlasováním jednomyslně 33:0 – bezprecedentní konsenzus pro syntaktickou novinku v PHP internals. Funkce umožňuje částečnou aplikaci argumentů pomocí syntaxe s ... jako placeholderem: $add5 = add(5, ...).
Dále bylo přijato RFC pro Polling API, které přináší nativní asynchronní I/O smyčku (hlasování skončilo 3. června). Dohromady s true async podporou a Polling API tvoří PHP 8.6 dosud nejambicióznější sadu změn pro souběžné programování v historii jazyka. Na php.watch je v červenci stav u řady dalších RFC označen jako In Implementation nebo Under Discussion; finální seznam bude uzavřen feature freeze 13. srpna.
Vydání Twig 3.28.0 dne 3. července 2026 přináší hned několik podstatných vylepšení. Twig nyní sleduje zdrojový offset každého tokenu, takže chybové hlášky ukazují přesný sloupec v šabloně; nová metoda Error::getTemplateColumn() a Token::getOffset() tento údaj zpřístupňují programově. Druhou novinkou je podpora dynamického volání maker přes tečkový operátor – dosud bylo nutné znát jméno makra staticky v době kompilace šablony.
Výrazné jsou i výkonnostní úpravy: sandbox nyní obaluje argument do kontrolní obálky jen tehdy, kdy PHP parametrový typ skutečně může koercovat hodnotu na string – výsledkem je méně generovaného kódu a rychlejší vykreslování sandboxovaných šablon. Release dále opravuje chování backed enumů v html_attr, falsy bug u prázdných Markup hodnot a PHP 8.5 deprecation u chr() při dekódování oktalových escape sekvencí. Součástí je také série deprecation pro Twig 4.0. Uživatelé Shopware 6.7 pozor – komunita hlásí kompatibilní problém s administrací.
Symfony UX 3.3.0 – Reprise, Sonner a Combobox symfonyrelease
Symfony UX 3.3.0 vydáno 15. července 2026 přináší tři hlavní pilíře. Zaprvé StimulusBundle nyní nativně podporuje Symfony Reprise jako asset systém první třídy (vedle AssetMapper a Webpack Encore). Reprise je experimentální integrace Vite/Rsbuild pro Symfony assets, jejíž první commit přistál v září 2025; verze 3.3 ji povyšuje na plnohodnotně zdokumentovanou volbu. Zadruhé Toolkit dostává dvě nové Shadcn komponenty: Sonner (toast notifikace) a Combobox (prohledávatelný select).
Zatřetí byl vylepšen příkaz ux:install a způsob, jakým jsou parsovány a lintovány dokumentace komponent – výchozí hodnoty jsou nyní čteny přímo ze značky {% props %}, takže se už nemusí duplikovat v popisu. PHP Architect v červenci 2026 publikoval obsáhlý článek o architektuře UX 3.0 jako component-first frontendového přístupu pro PHP vývojáře, který dobře ilustruje směr, kterým Symfony UX míří.
A Week of Symfony #1020 – AMPHP, MetaWhatsApp, SSR streaming symfony
Týdenní shrnutí #1020 (13.–19. července 2026) zaznamenalo 13 sloučených pull requestů a uzavření 11 issues od 14 přispěvatelů (233 přidaných a 88 odstraněných řádků). Z nových PR vyniká PR #64892 přidávající AMPHP SQL transport pro Messenger komponentu – umožní asynchronní zpracování zpráv přímo přes SQL databázi bez externího brokera. PR #64883 zavádí MetaWhatsApp bridge pro Notifier, čímž Symfony získává nativní integraci s WhatsApp Business API. Console komponenta dostane skrze PR #64885 přístup k objektům $input a $output uvnitř handleSignal().
V Issue #64894 se otevírá diskuse o SSR streaming podpoře pro Symfony, což je signál připravované funkce pro server-side rendering streamované odpovědi. Na větvi 6.4 (LTS) byly zafixovány: Twig macros v Mailer panelu WebProfileru (b416502), povolení více podtržítek na začátku v Dotenv (d9b1d6d), nahrazení nativního PHP "dechunk" stream filtru vlastní implementací v HttpClient (879ac15) a render labelu s hodnotou "0" v TwigBridge (1dbbec9).
PHPStan 2.2.0 bylo vydáno 28. května 2026 a přineslo plnou podporu PHP 8.5 včetně nových syntaktických konstrukcí. Klíčovou novinkou jsou unsealed array shapes – PHPStan nyní dovede modelovat asociativní pole, u nichž jsou popsány pouze některé klíče a zbytek je volný, aniž by statická analýza chybně hlásila neznámé klíče. Série 2.2.x pokračovala opravnými verzemi až na 2.2.4, která řeší problémy se spotřebou paměti, krash při startu s nevalidním composer.json a zpřesňuje narrowing typů klíčů polí.
Závislost phpstan/phpstan-phpunit byla mezitím aktualizována z 2.0.16 na 2.0.18, plugin pest-plugin-phpstan vyžaduje od verze 5.x PHPStan ^2.2.5. Pest samotný vydal v4.7.5 (6. července 2026), přičemž závisí na PHPUnit ^12.5.30 a vyžaduje PHP ^8.3. Ekosystém nástrojů pro statickou analýzu a testování PHP tak drží krok s aktuálními verzemi runtime.