Laravel Уроки

PHP: разработчики предупредили о дополнительном сценарии RCE (CVE-2026-115560). Уязвимость проявляется при редком сочетании настроек: приложение должно переключать session.serialize_handler с php_binary или php_serialize на php во время выполнения, при включённом session.upload_progress. До выхода следующего релиза PHP рекомендуется установить session.upload_progress.enabled=0. Если настройка уже отключена после предыдущего предупреждения о CVE-2026-109619, дополнительных действий не требуется. Исправление войдёт в очередной плановый релиз PHP.

Ondřej Surý выпустил обновлённые пакеты PHP с исправлениями критических уязвимостей для всех веток, представленных в его репозитории, включая устаревшие и официально не поддерживаемые версии вплоть до PHP 5.6. Обновления распространяются через репозитории Sury для Debian и Ubuntu.

Node.js сегодня закрыл 4 уязвимости высокой степени опасности Самая серьёзная, CVE-2026-111497, находится в декодере Brotli и, по словам Node.js, позволяет выполнять код удалённо. Две ошибки позволяли обойти проверку имени хоста в TLS. Ваше приложение может принять за действительный сертификат, который не принадлежит серверу, с которым оно общается. Если у вас есть что-то на Node.js: ➡️ Выполните node -v. Если версия ниже v22.23.4, v24.22.1 или v26.12.1, обновитесь ➡️ Если вы деплоите с Docker, пересоберите образ. Обновление вашей машины не изменит то, что в продакшене ➡️ Если вы всё ещё на Node.js 18 или 20, для вас нет патча: пора мигрировать

PHP2Shell: Искусственный интеллект обнаружил критические уязвимости удаленного выполнения (RCE), затрагивающие 70% интернета Статья непосредственно от исследователей, обнаруживших уязвимости. Технический разбор четырёх ошибок управления памятью в ядре PHP, которые исследователи объединили под названием PHP2Shell. Ошибки существовали более десяти лет, но их было чрезвычайно сложно превратить в работающий эксплойт. Использование ИИ позволило исследователям решить эту задачу. https://www.wiz.io/blog/php2shell-php-rce

Вышли пропатченные версии PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 https://www.php.net/archive/2026.php#2026-10-21-5

Cloudflare сообщает, что уже фиксирует ранние атаки по двум уязвимостям PHP, за часы до выхода патча. Правила WAF для известных векторов эксплуатации уже активированы для всех клиентов, включая бесплатные тарифы. Часть сайтов полностью отключаются во избежание взлома. Из крупных, например, DeviantArt (~200M посетителей в месяц) отключил сервера. В сети распространяется видео с эксплойтом php2shell, на котором видно взлом последней версии WordPressа, а также phpBB и Drupal.

Предварительный разбор новых уязвимостей в PHP https://jackalsyn.com/posts/php-up-2026.html Как временное решение рекомендуют прописать в php.ini session.upload_progress.enabled = Off

Команда безопасности PHP предварительно уведомляет: сегодня, в среду, 21 октября 2026 г., 17:00 MSK выйдет патч устраняющий две критические уязвимости с рейтингом CVSS 9.2. CVE-2026-109618 и CVE-2026-109619, уязвимости RCE в PHP находятся в пути обновления прогресса загрузки сессии. Пользователям PHP рекомендуется подготовиться к обновлению. Патч выйдет раньше, если детали уязвимостей станут публичными или появятся доказательства активной эксплуатации.

В X/Twitter народ массово отказывается от PhpStorm. Уходит эпоха.

Критическая уязвимость обхода аутентификации в Laravel (9.2/10) В MySQL/MariaDB guard токенов API Laravel позволял неаутентифицированному злоумышленнику войти как существующий пользователь-жертва. Исправлена в 12.68 & 13.29 https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6

Race Conditions в Laravel: почему возникают и как их избежать Как параллельные запросы приводят к двойным заказам, повторному использованию промокодов и отрицательным балансам. Автор разбирает пять способов защиты: атомарные SQL-запросы, lockForUpdate(), Cache::lock(), новый Cache::funnel() в Laravel 13 и уникальные индексы БД. https://vipertecpro.com/blog/laravel-race-conditions

Улучшаем производительность в Filament v5 Практическое руководство по оптимизации админок с сотнями тысяч записей: устранение N+1, настройка SQL-индексов, ускорение поиска и пагинации, оптимизация Livewire и кеширование виджетов. С примерами кода и результатами замеров. https://richdynamix.com/articles/filament-v5-performance-large-tables-query-tuning-complete-guide

Релиз PHPStan 2.3: Значительный рост производительности С начала этого года мы усердно работали над улучшением производительности PHPStan, и нам это очень хорошо удалось. Ничто не демонстрирует это лучше, чем следующий график. На моем компьютере анализ исходного кода WordPress занимал 60 секунд. А сегодня это занимает всего 8 секунд. https://phpstan.org/blog/phpstan-2-3-leap-in-performance

Laravel 13 получил нативную поддержку векторного поиска в MariaDB Теперь методы whereVectorSimilarTo(), orderByVectorDistance() и другие работают с MariaDB 11.7+ наряду с PostgreSQL. Обычный MySQL остался за бортом из-за отсутствия необходимых функций вычисления векторного расстояния. В статье разбор ограничений MySQL и практический обходной путь с вычислением косинусного сходства на PHP. https://apnahive.com/laravel-just-shipped-native-vector-search-for-mariadb-if-youre-on-mysql-youre-locked-out/

Разбираемся с MCP на практике: сервер документации Swagger на Laravel Соберём на Laravel MCP-сервер для поиска по Swagger-документации. Через него AI-ассистент сможет найти API-операцию, прочитать её параметры и получить схему ответа. Спецификацию сохраним в PostgreSQL, а доступ к ней дадим через четыре инструмента: поиск, описание операции, схему и список операций по тегу. https://habr.com/ru/articles/1089476/

Промпт-инъекции становятся проблемой Laravel С выходом официального Laravel AI SDK подключить к приложению AI-агента с доступом к инструментам и данным стало очень просто. Но вместе с этим появляется новый класс рисков: через prompt injection модель можно заставить вызвать инструмент с правами, которых у самого пользователя быть не должно. Автор на понятных примерах показывает, как непривязанный к пользователю инструмент может раскрыть чужие данные, почему проверки нужно делать прямо внутри handle() через Policies/Gates и какие ещё меры стоит предусмотреть при работе с AI-агентами. Полезно прочитать всем, кто уже экспериментирует с ИИ. https://albertoarena.it/posts/prompt-injection-is-a-laravel-problem-now/

🧱Строим мультиагентные системы для разработки на Podlodka AI Crew Инженерные задачи редко состоит из одного действия. В традиционной разработке их распределяют между несколькими специалистами. Мультиагентный подход переносит ту же логику в среду искусственного интеллекта: вместо одного исполнителя над задачей работают несколько виртуальных агентов. Но как построить такую систему и сделать её эффективной? Эксперты Podlodka AI Crew ответят на этот вопрос в новом сезоне «Мультиагентные системы», который пройдёт с 12 по 16 октября. Генеральный партнёр конференции — RWB. О чём узнают участники: 🧩 Как построить эффективную внутреннюю AI-платформу разработки 🧠 Как устроен «мозг» агента и как это использовать 🔄 Как убрать себя из агентского цикла с помощью оркестрации 🏭 Как построить «завод» из AI-агентов с узкими задачами 🔍 Как быстро обнаруживать ошибки и не тратить лишние токены. Формат Podlodka AI Crew — комфортный онлайн: 5 дней, утренние и вечерние сессии в Zoom. Отдельный плюс — цена: заметно ниже привычных конференций, при этом много практики и обсуждений в закрытом комьюнити в Telegram. 🔗 Подробностями о сезоне «Мультиагентные системы» делимся на сайте. Приходите на конференцию, чтобы вместе с коллегами найти баланс между скоростью, качеством, стоимостью и уровнем человеческого контроля в AI-разработке. 🎟 По промокоду laravel получите скидку: https://podlodka.io/aicrew