Dne 2. července 2026 vydal PHP tým simultánně bezpečnostní záplaty pro všechny aktivně podporované větve. Záplaty adresují dva CVE: CVE-2026-14355 opravuje memory corruption (zend_mm_heap corrupted) v rozšíření OpenSSL – konkrétně špatnou alokaci výstupního bufferu v openssl_encrypt() při použití algoritmu AES-WRAP-PAD, kde nebyla zohledněna RFC 5649 expanze dat. CVE-2026-12184 opravuje bypass ochrany magického adresáře .phar v metodě Phar::addEmptyDir() pro cesty začínající řetězcem /.phar. Obě větve 8.4 a 8.5 také obsahují opravu replay chyby v Opcache inheritance cache.
Uživatelům všech čtyř větví (8.2, 8.3, 8.4, 8.5) je doporučena okamžitá aktualizace. PHP 8.1 a starší jsou za EOL a záplaty pro ně nevychází – pokud ještě provozujete tyto větve v produkci, je nasnadě plánovat upgrade. PHP 8.5 je nyní aktuální stabilní větev vydaná začátkem roku 2025; PHP 8.2 má naplánovaný EOL na konec roku 2026.
Dne 16. července 2026 vyšlo PHP 8.6.0 Alpha 2 (build od release manažera svpernova09). Jde o testovací milestone – nikoli pro produkci – a Alpha 3 je naplánována na 30. července. Obecná dostupnost PHP 8.6 je stále cílena na 19. listopadu 2026. Alfa verze reflektují přijaté i teprve hlasované RFC funkce: PHP 8.5 již přineslo pipe operátor (|>) a nové URI rozšíření; pro 8.6 se aktuálně diskutuje Pipe Assignment Operator (|>=) jako složený přiřazovací operátor.
Největší pozornost přitahuje RFC True Async, které navrhuje nativní asynchronní programování v PHP bez nutnosti externích event-loop knihoven (Revolt, ReactPHP, Amp). Klíčové primitivy jsou funkce spawn() pro spuštění lehkého coroutinu a await() pro čekání na výsledek; každý příchozí request by běžel ve vlastním coroutinu a byl by možný I/O multiplexing bez blokování. RFC prošlo několika fázemi revize (Stage 3, Stage 5) a výjimková hierarchie byla přejmenována z AsyncException / AsyncCancellation. Paralelně existuje separátní RFC pro structured concurrency (Scope).
Hlasování o přijetí True Async RFC pro PHP 8.6 probíhá nyní; pro průchod je potřebná 2/3 většina. Výsledek prakticky určí, zda PHP 8.6 přinese průlomovou změnu ve způsobu psaní I/O-bound kódu, nebo zda se tato změna odloží na 9.0.
Symfony UX 3.3.0 – Reprise, Sonner a Combobox symfonyrelease
Symfony UX 3.3.0 vyšlo 15. července 2026 a hlavním tématem je podpora Symfony Reprise – nové integrace postavené na Vite a Rsbuild jako moderní alternativě k Webpack Encore. V StimulusBundle stačí předat cestu k controllers.json do Vite pluginu a vše funguje nativně. Breaking change: @symfony/stimulus-bridge již není výchozím npm peer dependency; zůstává pouze @hotwired/stimulus a stimulus-bridge je nyní explicitně vyhrazen pro Webpack Encore uživatele.
Toolkit dostává dvě nové Shadcn komponenty: Sonner (opinionated toast notifikace pro přechodná hlášení) a Combobox (input s filtrovatelným dropdownem pro autocomplete výběr). Instalace probíhá přes php bin/console ux:install sonner --kit=shadcn. Příkaz ux:install je nově case-insensitive a navrhuje nejbližší alternativu, pokud recept neexistuje. Opravena byla i lazy detection v StimulusBundle – direktivy stimulusFetch: 'lazy' jsou nově detekovány přes preserved comment markery (/*! stimulusFetch: 'lazy' */), což řeší problémy s TypeScript controllery.
Ve LiveComponent přibylo několik oprav: zpracování malformed hydration payloads bez 500 chyby, nullable kolekční properties a ignorování data-live-ignore substromy ve skenerech loading atributů. Komponenta Autocomplete opravuje rozbití LIKE ESCAPE klauzule v PostgreSQL. Nová interní infrastruktura ComponentDocParser a ComponentDocChecker standardizuje dokumentační formát @prop a @block komentářů kompatibilní s LLM toolingem.
Week of Symfony #1020 – Messenger, Notifier, HttpClient a SymfonyCon Warsaw symfony
Týdenní přehled za 13.–19. července 2026 eviduje 13 mergnutých PR (9 kódu, 4 dokumentace), 11 uzavřených issues a příspěvky 14 autorů (233 přidaných vs. 88 odstraněných řádků). Největší novinkou v PR fázi je AMPHP SQL transport pro Messenger – nativní asynchronní podpora databázových front bez blokování PHP procesu. Do Notifieru přibyl MetaWhatsApp bridge pro odesílání zpráv přes Meta WhatsApp Business API. Console komponenta rozšiřuje metodu handleSignal() o parametry input a output, čímž signal handlery získávají přístup k I/O rozhraní.
V HttpClient nahrazuje čistě PHP implementace nativní nativní stream filter dechunk – to přináší konzistentnější chování napříč platformami a odstraňuje závislost na chování konkrétního PHP buildu. Dotenv nově povoluje více podtržítek na začátku názvů proměnných (soulad s bash konvencemi pro privátní a systémové proměnné). V WebProfilerBundle byly opraveny Twig macros v Mailer panelu a TwigBridge správně renderuje labely s hodnotou "0".
Na konferenční frontě: SymfonyCon Warsaw 2026 odhalila prvních čtyři řečníky, jsou k dispozici hotelové nabídky a vstupenky v early-bird prodeji. SymfonyCasts mezitím spustilo bezplatný kurz Upgrading to Symfony 8, který provede deprecated kódem, Composer aktualizacemi a moderními best practices migrace.
PhpStorm 2026.2 – rychlejší indexování, AI agenti a Laravel window toolingrelease
JetBrains vydal v červenci 2026 PhpStorm 2026.2, druhý release letošního roku. Výkonnostní prioritou je až 10% zrychlení indexování projektů a příprava architektury pro snížení doby startupu i zmrazení IDE v lokálním i vzdáleném vývoji. Klíčová novinka pro DevOps workflow je nativní WSL2 a Dev Containers podpora – vzdálený vývoj funguje přirozeněji bez proxy vrstvy, s přímým mapováním portů a souborového systému.
V oblasti AI a agentů přibývá cross-agent skills manager pro koordinaci více AI nástrojů najednou, zabudovaná integrace GitHub Copilot a nový #[FileReference] atribut pro anotace odkazů na soubory v kódu. Tým dále prohloubil podporu PHPDoc generics napříč komplexními typovými stromy. Velmi praktickým doplňkem je nový Laravel tool window, který nabízí rychlý přehled artisan příkazů, routes a dalších frameworkových artefaktů přímo z bočního panelu IDE.
Ekosystém: Doctrine aktualizace, Pest 4.7.5 a PHPStan toolchain doctrinetooling
Doctrine ORM bylo na GitHubu a Packagist aktualizováno 20. července 2026 a Doctrine DBAL o den později (21. července). Konkrétní verze patch releasů nejsou v blogpostu explicitně oznámeny – projekt primárně komunikuje přes GitHub releases a Twitter. Poslední potvrzená verze ORM je 3.6.7 z 25. května 2026; aktualizace v červenci pravděpodobně přináší 3.6.8 nebo patch DBAL 4.x. Připomínáme, že Doctrine ORM 2.x má oznámený EOL (detailněji popsán v říjnu 2025) a aktivní rozvoj probíhá výhradně na větvích ORM 3.x a DBAL 4.x.
Pest 4.7.5 vyšlo 6. července 2026 s požadavky PHP ^8.3 a PHPUnit ^12.5.30 – drobný patch release udržující soulad s nejnovějším PHPUnit. Balíček phpstan/phpstan-phpunit byl povýšen z 2.0.16 na 2.0.18 (aktualizace potvrzena v php.net webmaster repozitáři 8. července). Vývojový balíček pestphp/pest-plugin-phpstan vydal 17. července verzi 5.x-dev vyžadující PHP ^8.4 a PHPStan ^2.2.5. PHPStan 2.2 sám o sobě byl vydán v květnu 2026 a přinesl unsealed array shapes, bezpečnější typy klíčů polí a plnou kompatibilitu s PHP 8.5.