O PHP Weekly de 22 de outubro de 2026 chegou com um tom de alerta depois de 24 horas turbulentas no ecossistema PHP, marcadas por vulnerabilidades de IA que exploraram falhas antigas do PHP e por um ataque de agentes de IA que comprometeram mais de 100 sites, pagando cerca de US$ 50 por invasão.
Entre as notícias de segurança, a comunidade Laravel publicou um aviso crítico sobre um bypass de autenticação no Token Guard, corrigido nas versões 12.68.0 e 13.29.0. O problema permitia que um atacante não autenticado se autenticasse como usuário existente sem conhecer o token.
“Um atacante pode obter acesso a contas de API apenas enviando uma requisição manipulada ao endpoint de autenticação.” – Hristijan ManasijevA mitigação recomendada é atualizar imediatamente para as versões acima citadas.
No universo Symfony, a versão 8.0.0, lançada em novembro de 2025, chegou ao fim de vida em julho de 2026 (última release 8.0.16). O comunicado indica que a branch está “Unmaintained” e recomenda migração para a 8.1. Além disso, foram lançadas versões de manutenção 5.4.54, 6.4.48, 7.4.21 e 8.1.9, contendo correções de segurança para HttpFoundation, ExpressionLanguage e Yaml.
O WordPress também ganhou destaque: a linha 7.x avançou rapidamente, com a 7.0 lançada em 20 de maio e a 7.1 em 19 de agosto de 2026. O boletim fornece um resumo das principais mudanças e orienta desenvolvedores a revisar plugins e temas antes de atualizar, principalmente em relação ao uso de $wpdb->prepare() e hooks.
Além das alertas de segurança, a edição traz artigos técnicos como comparativo entre tryFrom() e from() em enums PHP 8.3, o problema N+1 em Laravel, e novas funcionalidades da Laravel 13.36 (Rule::builders, DB::olap() para consultas massivas em PlanetScale). Também há notícias de eventos – SymfonyCon Warsaw 2026 – e podcasts relevantes.
Para quem deseja se proteger, a recomendação geral do boletim é: manter todas as dependências atualizadas, aplicar patches de segurança imediatamente, revisar código que interage com bancos de dados via concatenação de strings e monitorar relatórios de segurança da equipe PHP.
Fonte: PHP Weekly
