Kurált cikk-ajánlók e-commerce architektúráról, Adobe Commerce/Magentóról, PHP-ról és szoftverfejlesztésről. Nem teljes fordítás: rövid, saját szavakkal írt összefoglaló, linkkel az eredeti forráshoz.
RSS-feedSymfony Blog
·
2026. október 15.
A `HeaderUtils::split()` reguláris kifejezése whitespace-futamnál exponenciálisan sok úton próbálkozik, és a `HeaderBag` minden `Request` felépítésekor meghívja a `Cache-Control` fejlécre, így hitelesítés nélkül is kihasználható. PHP 8.5-ön egy 17 szóközös futam 8 KB-os fejlécben kb. 813 ms CPU-időt vitt el, 18 szóköztől pedig a `pcre.backtrack_limit` miatt a függvény üres tömböt ad, vagyis a direktívák némán elvesznek. A javítás birtokló (possessive) kvantorokra cseréli a mintát. Az első javított kiadások (6.4.46, 7.4.19, 8.1.7) regressziót hoztak, ezért a 6.4.48, 7.4.21 és 8.1.9 verzióra érdemes frissíteni. Symfony-alapú webshopnál ez a frissítés nem halasztható, mert a hiba minden kérésen elérhető.
Adobe (Security Bulletin APSB26-153)
·
2026. október 13.
Az Adobe október 13-án adta ki az APSB26-153 bulletint, amely az Adobe Commerce és a Magento Open Source 2.4.4 és 2.4.9 közötti verzióit érinti. A javítás ismét „isolated patch” ZIP formában érkezik, Composer-csomag nincs: a cél az 2.4.9, 2.4.8-p5, 2.4.7-p10, 2.4.6-p15, 2.4.5-p17 vagy 2.4.4-p18 szint, a korábbi havi javítások sorrendben telepítve. A CE, EE és B2B ZIP-eket ebben a sorrendben kell alkalmazni, az ellenőrzéshez pedig a `php vendor/bin/patch-status` eszköz szolgál. Az októberi javítás mellé a szeptemberi, CVE-2026-75650 számú hotfixet is fel kell tenni, és az Adobe a titkosítási kulcsok és a kapcsolódó hitelesítő adatok cseréjét is javasolja. Cloudos környezetben, ahol már benne van a legfrissebb cloud-patches csomag, a ZIP ismételt alkalmazása telepítési hibát okozhat.
Laravel News
·
2026. október 12.
A BashBox (Pushpak Chhajed) egy tisztán PHP-ban megírt bash-értelmező, amely `proc_open`, `exec` és `shell_exec` nélkül futtatja az AI-ügynökök által generált szkripteket. Csöveket, átirányítást, here-doc-ot, függvényeket és 58 parancsot (például `grep`, `sed`, `find`) ismer, és alapból memóriabeli virtuális fájlrendszeren dolgozik, 64 MB-os kvótával. A hálózat kikapcsolt állapotú, a `curl` csak `NetworkConfig` megadása után létezik, URL-engedélylistával és a privát IP-tartományok tiltásával. A `Limits` osztály 18 beállítással korlátozza a futást (alapból 10 000 parancs, 10 MB kimenet). PHP 8.4 kell hozzá, a telepítés `composer require shipfastlabs/bashbox`. Ha egy webshop admin-felületén vagy integrációjában ügynök által írt szkriptet kell futtatni, ez a minta rendszerhívás nélküli, jól behatárolt végrehajtást ad.
Symfony Blog
·
2026. október 9.
A Symfony 8.2 három változást hoz az aláírt URL-ekbe. Az `UriSigner` új `$version` argumentuma bekerül az aláírásba, de az URL-be nem, így például a jelszó-visszaállító link a jelszó-hash cseréjével érvénytelenné válik (a `verify()` hívás maga nem érvényteleníti, csak az új hash mentése). Lejárat nélkül aláírni elavult, a 9.0-tól kötelező lesz, alapértéket a `$defaultExpiration` argumentum vagy a `framework.uri_signer.expiration` ad. A bejelentkezési linkek `createLoginLink()` hívása pedig `$parameters` argumentumot kap, így például egy átirányítási cél is aláírt, és az `_login_link_parameters` attribútumból olvasható. Webshopos jelszó-visszaállító, e-mail-megerősítő és „varázslink”-es belépési folyamatoknál ez külön tárolt egyszer használatos token nélkül is megoldható.
Symfony Blog
·
2026. október 8.
A SymfonyCon Warsaw 2026 programajánlója szerint Antoine Bluchet (Les-Tilleuls.coop) élő kódolással mutatja be, hogyan tehető elérhetővé egy API az AI-ügynökök számára a Model Context Protocol és a PHP SDK segítségével. Három utat vet össze: az eszközök automatikus generálását az API-ból, egy Hydra-átjárót, ahol az ügynök hipermédia-linkeken fedezi fel az eszközöket, és a kézi megoldást PHP attribútumokkal. A fő kérdések a kontextus telítődése (túl sok eszköz kitölti az ügynök kontextusát), a skálázhatóság és a REST/HATEOAS-elvek tisztelete. A cikk csak a program leírása, a megoldások részletei az előadásban derülnek ki. Egy webshop API-jának ügynökbarát kitételekor az eszközkészlet szűkítése valószínűleg fontosabb, mint a lefedettség.
php.net
·
2026. október 8.
A php.net bejelentése szerint a PHP 8.6.0 RC3 forráskódja letölthető tesztelésre, az éles használatot a csapat kifejezetten tiltja. A bejelentés nem sorolja fel a változásokat, a teljes lista a kiadás NEWS és UPGRADING fájljában található, a hibákat a php-src GitHub-tárolóban kell jelenteni. A következő kiadás az RC4, tervezett dátuma október 22. Szerver-oldali csapatnak ez a legjobb időpont, hogy a CI-ban egy 8.6-os feladatot is lefuttasson, és az UPGRADING fájl alapján megtalálja a letiltott vagy módosult viselkedéseket, még mielőtt a végleges kiadás megérkezik.
Ez az oldal Google Analytics-et használ a látogatottság méréséhez. Ehhez a hozzájárulásod szükséges - részletek az adatvédelmi tájékoztatóban. Adatvédelmi tájékoztató