Note : l'hébergeur Hosted Power a publié une extension open source qui vise à fermer le chemin multipart des deux failles sur un PHP non corrigé, de PHP 5.6 à 8.5, sans recompiler PHP. Depuis sa version 3, elle retire le gestionnaire Session Upload Progress et embarque le parseur multipart issu du correctif officiel. Elle peut dépanner les serveurs qui ne recevront aucun correctif, mais ses auteurs le disent eux-mêmes : la vraie correction reste la mise à jour de PHP. Publié dans l'urgence, l'outil a déjà connu plusieurs versions correctives dans la journée, donc vérifiez qu'il est bien chargé par le serveur web, via phpinfo().
PHP publie ce mercredi 21 octobre à 16 heures, heure de Paris, des correctifs d'urgence pour deux failles critiques, CVE-2026-109618 et CVE-2026-109619. Des informations sur ces failles avaient fuité la veille sur Hacker News, et la publication arrive un jour plus tôt que la date fixée par l'embargo.
"Parts de marché" des langages côté serveur: php est utilisé à 78,9%. C'est énorme.
Nikita Popov, développeur de l'équipe PHP, affirme que les changements opérés sur le serveur Git par les pirates touchent la branche de développement de PHP 8.1.
Cette version de PHP est prévue pour la fin de l'année 2021.
Par précautions, l'équipe qui maintient PHP a pris la décision de migrer de son serveur Git interne vers GitHub directement pour héberger les sources officielles de PHP
PHP 8.0 propose des nouveaux compilateurs JIT (Just In Time, compilation à la volée). L’un des deux, Tracing JIT, se veut particulièrement prometteur, avec « environ trois fois plus de performances sur des benchmarks synthétiques et 1,5 à 2 fois plus de performances sur certaines applications à longue durée d'exécution ».
Parmi les autres a