Laravel World
Новости о Laravel и PHP. Уроки и секреты.

Laravel World

  1. Laravel World

    Node.js сегодня закрыл 4 уязвимости высокой степени опасности

    Node.js сегодня закрыл 4 уязвимости высокой степени опасности

    Самая серьёзная, CVE-2026-111497, находится в декодере Brotli и, по словам Node.js, позволяет выполнять код удалённо.

    Две ошибки позволяли обойти проверку имени хоста в TLS. Ваше приложение может принять за действительный сертификат, который не принадлежит серверу, с которым оно общается.

    Если у вас есть что-то на Node.js:

    ➡️ Выполните node -v. Если версия ниже v22.23.4, v24.22.1 или v26.12.1, обновитесь

    ➡️ Если вы деплоите с Docker, пересоберите образ. Обновление вашей машины не изменит то, что в продакшене

    ➡️ Если вы всё ещё на Node.js 18 или 20, для вас нет патча: пора мигрировать

    • ❤️13

  2. Laravel World

    PHP2Shell: Искусственный интеллект обнаружил критические уязвимости удаленного выполнения (RCE), затрагивающие 70% интернета

    PHP2Shell: Искусственный интеллект обнаружил критические уязвимости удаленного выполнения (RCE), затрагивающие 70% интернета

    Статья непосредственно от исследователей, обнаруживших уязвимости. Технический разбор четырёх ошибок управления памятью в ядре PHP, которые исследователи объединили под названием PHP2Shell. Ошибки существовали более десяти лет, но их было чрезвычайно сложно превратить в работающий эксплойт. Использование ИИ позволило исследователям решить эту задачу.

    https://www.wiz.io/blog/php2shell-php-rce

    • ❤️20

  4. Laravel World

    Cloudflare сообщает, что уже фиксирует ранние атаки по двум уязвимостям PHP, за часы до выхода патча. Правила WAF для известных векторов эксплуатации уже активированы для всех клиентов, включая бесплатные тарифы. Часть сайтов полностью отключаются во избежание взлома. Из крупных, например, DeviantArt (~200M посетителей в месяц) отключил сервера.

    Cloudflare сообщает, что уже фиксирует ранние атаки по двум уязвимостям PHP, за часы до выхода патча. Правила WAF для известных векторов эксплуатации уже активированы для всех клиентов, включая бесплатные тарифы. Часть сайтов полностью отключаются во избежание взлома. Из крупных, например, DeviantArt (~200M посетителей в месяц) отключил сервера.

    В сети распространяется видео с эксплойтом php2shell, на котором видно взлом последней версии WordPressа, а также phpBB и Drupal.

    • ❤️26

  6. Laravel World

    Команда безопасности PHP предварительно уведомляет: сегодня, в среду, 21 октября 2026 г., 17:00 MSK выйдет патч устраняющий две критические уязвимости с рейтингом CVSS 9.2. CVE-2026-109618 и CVE-2026-109619, уязвимости RCE в PHP находятся в пути обновления прогресса загрузки сессии.

    Команда безопасности PHP предварительно уведомляет: сегодня, в среду, 21 октября 2026 г., 17:00 MSK выйдет патч устраняющий две критические уязвимости с рейтингом CVSS 9.2. CVE-2026-109618 и CVE-2026-109619, уязвимости RCE в PHP находятся в пути обновления прогресса загрузки сессии.

    Пользователям PHP рекомендуется подготовиться к обновлению. Патч выйдет раньше, если детали уязвимостей станут публичными или появятся доказательства активной эксплуатации.

    • ❤️28

  8. Laravel World

    Критическая уязвимость обхода аутентификации в Laravel (9.2/10)

    Критическая уязвимость обхода аутентификации в Laravel (9.2/10)

    В MySQL/MariaDB guard токенов API Laravel позволял неаутентифицированному злоумышленнику войти как существующий пользователь-жертва. Исправлена в 12.68 & 13.29

    https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6

    • ❤️19

  9. Laravel World

    Race Conditions в Laravel: почему возникают и как их избежать

    Race Conditions в Laravel: почему возникают и как их избежать

    Как параллельные запросы приводят к двойным заказам, повторному использованию промокодов и отрицательным балансам. Автор разбирает пять способов защиты: атомарные SQL-запросы, lockForUpdate(), Cache::lock(), новый Cache::funnel() в Laravel 13 и уникальные индексы БД.

    https://vipertecpro.com/blog/laravel-race-conditions

    • ❤️26

  10. Laravel World

    Улучшаем производительность в Filament v5

    Улучшаем производительность в Filament v5

    Практическое руководство по оптимизации админок с сотнями тысяч записей: устранение N+1, настройка SQL-индексов, ускорение поиска и пагинации, оптимизация Livewire и кеширование виджетов. С примерами кода и результатами замеров.

    https://richdynamix.com/articles/filament-v5-performance-large-tables-query-tuning-complete-guide

    • ❤️17

  11. Laravel World

    Релиз PHPStan 2.3: Значительный рост производительности

    Релиз PHPStan 2.3: Значительный рост производительности

    С начала этого года мы усердно работали над улучшением производительности PHPStan, и нам это очень хорошо удалось. Ничто не демонстрирует это лучше, чем следующий график. На моем компьютере анализ исходного кода WordPress занимал 60 секунд. А сегодня это занимает всего 8 секунд.

    https://phpstan.org/blog/phpstan-2-3-leap-in-performance

    • ❤️40

  12. Laravel World

    Laravel 13 получил нативную поддержку векторного поиска в MariaDB

    Laravel 13 получил нативную поддержку векторного поиска в MariaDB

    Теперь методы whereVectorSimilarTo(), orderByVectorDistance() и другие работают с MariaDB 11.7+ наряду с PostgreSQL. Обычный MySQL остался за бортом из-за отсутствия необходимых функций вычисления векторного расстояния. В статье разбор ограничений MySQL и практический обходной путь с вычислением косинусного сходства на PHP.

    https://apnahive.com/laravel-just-shipped-native-vector-search-for-mariadb-if-youre-on-mysql-youre-locked-out/

    • ❤️24

  13. Laravel World

    Большое тестирование способов запуска PHP

    Большое тестирование способов запуска PHP

    Бенчмарки различных серверов и режимов запуска PHP. Что тестировалось:
    PHP-FPM + Nginx
    FrankenPHP (классический и worker-режим)
    Rapira (классический, worker, dispatcher)
    OxPHP (классический, worker)
    RoadRunner
    FreeUnit
    Swoole
    На каждом сервере было запущено простое приложение на Yii3. Два отдельных эндпоинта и, соответственно, два бенчмарка. Первый — без БД, чистый PHP. Второй реально обращается к PostgreSQL, что ближе к настоящим приложениям.
    Некоторые выводы:
    Swoole — король производительности! Rapira в режимах dispatcher/worker идёт следом.
    FreeUnit отлично подходит, если ваше приложение работает в классическом режиме.
    С базой данных разница становится менее заметной. Worker-режим в среднем даёт 2× RPS.
    Swoole и Rapira очень эффективны с точки зрения потребления CPU и памяти.

    https://yii3-benchmarks.github.io/app-api/

    • ❤️33

  14. Laravel World

    Разбираемся с MCP на практике: сервер документации Swagger на Laravel

    Разбираемся с MCP на практике: сервер документации Swagger на Laravel

    Соберём на Laravel MCP-сервер для поиска по Swagger-документации. Через него AI-ассистент сможет найти API-операцию, прочитать её параметры и получить схему ответа. Спецификацию сохраним в PostgreSQL, а доступ к ней дадим через четыре инструмента: поиск, описание операции, схему и список операций по тегу.

    https://habr.com/ru/articles/1089476/

    • ❤️13

  15. Laravel World

    Промпт-инъекции становятся проблемой Laravel

    Промпт-инъекции становятся проблемой Laravel

    С выходом официального Laravel AI SDK подключить к приложению AI-агента с доступом к инструментам и данным стало очень просто. Но вместе с этим появляется новый класс рисков: через prompt injection модель можно заставить вызвать инструмент с правами, которых у самого пользователя быть не должно. Автор на понятных примерах показывает, как непривязанный к пользователю инструмент может раскрыть чужие данные, почему проверки нужно делать прямо внутри handle() через Policies/Gates и какие ещё меры стоит предусмотреть при работе с AI-агентами. Полезно прочитать всем, кто уже экспериментирует с ИИ.

    https://albertoarena.it/posts/prompt-injection-is-a-laravel-problem-now/

    • ❤️25

  16. Laravel World

    Строим мультиагентные системы для разработки на Podlodka AI Crew

    Строим мультиагентные системы для разработки на Podlodka AI Crew

    Инженерные задачи редко состоит из одного действия. В традиционной разработке их распределяют между несколькими специалистами.

    Мультиагентный подход переносит ту же логику в среду искусственного интеллекта:     вместо одного исполнителя над задачей работают несколько виртуальных агентов. Но как построить такую систему и сделать её эффективной?

    Эксперты Podlodka AI Crew ответят на этот вопрос в новом сезоне «Мультиагентные системы», который пройдёт с 12 по 16 октября. Генеральный партнёр конференции — RWB.

    О чём узнают участники:

    🧩 Как построить эффективную внутреннюю AI-платформу разработки

    🧠 Как устроен «мозг» агента и как это использовать

    🔄 Как убрать себя из агентского цикла с помощью оркестрации

    🏭 Как построить «завод» из AI-агентов с узкими задачами

    🔍 Как быстро обнаруживать ошибки и не тратить лишние токены.

    Формат Podlodka AI Crew — комфортный онлайн: 5 дней, утренние и вечерние сессии в Zoom.

    Отдельный плюс — цена: заметно ниже привычных конференций, при этом много практики и обсуждений в закрытом комьюнити в Telegram.

    Подробностями о сезоне «Мультиагентные системы» делимся на сайте.

    Приходите на конференцию, чтобы вместе с коллегами найти баланс между скоростью, качеством, стоимостью и уровнем человеческого контроля в AI-разработке.

    По промокоду laravel получите скидку: https://podlodka.io/aicrew
    Please open Telegram to view this post
    VIEW IN TELEGRAM
    Please open Telegram to view this post
    VIEW IN TELEGRAM

    • ❤️3