Radar: falla in PHPUnit 13.4, Symfony 8.2 in beta, due RFC e il conto alla rovescia per PHP 8.6

Benvenuto nel primo Radar: la rassegna di TuttoPHP con quello che si è mosso nell’ecosistema e che non merita un articolo intero, ma che è bene tu sappia. Oggi c’è una falla in PHPUnit, una beta di Symfony, due RFC e il conto alla rovescia per PHP 8.6.

Perché ti riguarda: se fai girare i test su una macchina condivisa, la prima voce ti chiede di aggiornare oggi. Il resto ti dice cosa provare e cosa aspettarti nelle prossime settimane.

PHPUnit 13.4.4 chiude CVE-2026-119193

PHPUnit 13.4.4, uscito il 27 ottobre, corregge CVE-2026-119193 (GHSA-9vw2-f4vp-x7gf). L’avviso è uscito insieme alla release ed è arrivato nel database di GitHub il 30 ottobre. Sono colpite le versioni di phpunit/phpunit da 13.4.0 a 13.4.3. La gravità indicata da GitHub è “Moderate”, con un CVSS v4.0 di 5.4.

Il problema: quando i test PHPT girano con la code coverage, PHPUnit scrive il loro codice in una directory dal nome fisso dentro la cartella temporanea di sistema e lo esegue da lì, anche se quella directory l’ha creata un altro utente. Su un sistema con la cartella temporanea condivisa, un altro utente locale può così far eseguire codice con i tuoi privilegi. Secondo l’advisory la probabilità è bassa, perché serve un account sulla stessa macchina. Ma i server di build e i runner CI condivisi sono proprio quel tipo di macchina.

Symfony 8.2.0-BETA1 è pronta da provare

Il 4 novembre è uscita la prima beta di Symfony 8.2. È una pre-release: serve a trovare i problemi prima della versione finale, che la roadmap colloca a novembre 2026 senza un giorno preciso. Il post spiega come installarla impostando la minimum-stability a beta. Se hai una suite di test decente, provarla su un branch costa poco e aiuta tutti.

Due RFC per PHP 8.7

Due RFC con PHP 8.7 come versione target, entrambe con una maggioranza dei 2/3 richiesta per passare.

Add Filter\Filter and Filter\Flag Enums proponeva due enum con valori interi, una per gli ID dei filtri e una per i flag, come alternativa tipizzata alle costanti di ext/filter. Il voto si è chiuso il 4 novembre con 2 sì, 16 no e 2 astenuti: lontano dai due terzi. La pagina non ha ancora aggiornato lo stato.

Case-insensitive extension names in ini_get_all() propone che ini_get_all() accetti il nome dell’estensione senza badare a maiuscole e minuscole, come fanno già extension_loaded() e phpversion(). Il voto si chiude il 16 novembre.

PHP 8.6: ultima curva

Secondo il calendario ufficiale, la RC5 di PHP 8.6 era prevista per il 5 novembre. La versione stabile resta in programma per il 19 novembre. Mentre aspetti, Ada ti ha già spiegato novità e cose da controllare nel tuo codice.