Das PHP-Projekt hat am 12. November 2026 die Testversion PHP 8.6.0 RC7 bereitgestellt. Sie behebt unter anderem einen Speicherfehler in der OpenSSL-Anbindung bei vorzeitig abgebrochenen TLS-Verbindungen. Die Freigabe von PHP 8.6.0 ist weiterhin für den 19. November vorgesehen.
Die neue Fassung ist ausdrücklich keine produktive PHP-Version. Entwickler und Hosting-Anbieter können damit die letzten Kompatibilitätsprüfungen durchführen; für öffentlich erreichbare Websites empfiehlt das Projekt weiterhin die gepflegten stabilen PHP-Zweige. RC7 folgt unmittelbar auf RC6, das ebenfalls auf den 12. November datiert ist.
OpenSSL-Korrektur bei abgebrochenen TLS-Verbindungen
Laut dem offiziellen Änderungsprotokoll beseitigt RC7 einen sogenannten Use-after-free-Fehler in der OpenSSL-Integration. Betroffen sind Abläufe der serverseitigen TLS-ALPN-Verhandlung sowie Zertifikatsprüfungen unter Windows, wenn der an stream_socket_enable_crypto() übergebene Stream bereits vor Abschluss des TLS-Handshakes geschlossen wird.
Bei einem Use-after-free verwendet ein Programm Speicher weiter, nachdem dieser bereits freigegeben wurde. Solche Programmierfehler können je nach Ausführungspfad Abstürze oder andere unerwünschte Folgen verursachen. Das PHP-Projekt nennt für diese RC7-Korrektur im veröffentlichten Änderungsprotokoll allerdings weder eine CVE-Kennung noch eine dokumentierte Ausnutzung; daraus lässt sich keine konkrete Angriffslage für produktive PHP-Versionen ableiten.
Daneben korrigiert RC7 eine Optimierung von array_map(), bei der der Funktionsname einer als First-Class Callable übergebenen Funktion nicht korrekt aufgelöst wurde. Diese Änderung betrifft die Funktionsausführung im PHP-Kern und ist von der TLS-Korrektur zu unterscheiden.
Zwei Release Candidates am 12. November
Das mit demselben Datum versehene RC6 brachte weitere technische Korrekturen, darunter eine Vorsorgemaßnahme gegen mögliche ABI-Inkompatibilitäten bei nachträglich ergänzten Feldern interner globaler Strukturen. Außerdem wurden Fehler der MIME-Typerkennung für TrueType-Schriften und HWPX-Dateien behoben, die Datumsbibliothek timelib aktualisiert und ein weiterer Use-after-free-Fehler im Standard-Stream-Kontext bei Fehlern während der Initialisierung einer HTTP-Anfrage korrigiert.
RC7 ist damit der aktuellere Prüfkandidat innerhalb derselben Vorabveröffentlichungsphase. Die Änderungen in RC6 und RC7 sind nicht mit einem regulären Sicherheitsupdate der produktiven PHP-Zweige gleichzusetzen. Wer PHP 8.6 bereits in einer isolierten Testumgebung untersucht, sollte seine Ergebnisse auf Basis von RC7 nachvollziehen und frühere Vorabpakete entsprechend ersetzen.
Kompatibilität von Anwendungen und Erweiterungen prüfen
Für Betreiber von WordPress-, WooCommerce-, Shopware- oder anderen PHP-Anwendungen ist jetzt vor allem die Frage relevant, ob Anwendungscode und installierte Erweiterungen mit den Änderungen von PHP 8.6 zurechtkommen. Die offiziellen Upgrade-Hinweise dokumentieren unter anderem Verhaltensänderungen bei referenzbasierten foreach-Schleifen sowie strengere Fehlerbehandlung beim Rückgabewert von CURLOPT_READFUNCTION. Bei nicht zulässigen ganzzahligen Callback-Rückgaben wird künftig ein ValueError geworfen.
Hinzu kommen Änderungen an vormals schreibgeschützt dokumentierten DOM-Eigenschaften sowie strengere Prüfungen bei SOAP-Classmaps. Für individuelle Erweiterungen, ältere Bibliotheken und Anwendungen mit direktem Zugriff auf solche Schnittstellen können daraus Anpassungsarbeiten entstehen. Ein erfolgreicher PHP-Start allein reicht deshalb nicht als Kompatibilitätsnachweis.
Sinnvoll sind Tests in einer von Produktion getrennten Umgebung: Dazu gehören Installations- und Composer-Abhängigkeiten, benötigte PHP-Erweiterungen, HTTP- und TLS-Verbindungen, Hintergrundaufträge und typische Geschäftsabläufe. Bei selbst kompilierten PHP-Versionen sind zusätzlich die geänderten Build-Voraussetzungen zu berücksichtigen. Ein gleichzeitiges Upgrade von CMS-Kern, Plugins und PHP erschwert die Zuordnung auftretender Fehler; getrennte Testschritte machen Probleme nachvollziehbarer.
Download und geplanter Veröffentlichungstermin
Die Quellpakete von PHP 8.6.0 RC7 stehen auf dem offiziellen Entwicklungsserver bereit. Für eigene Test-Builds ist das RC7-Quellarchiv als TAR.XZ verfügbar; die dazugehörige PGP-Signatur kann zur Überprüfung genutzt werden. Vor dem Einsatz sind die Veröffentlichungsdateien und Signaturen zu validieren.
Weiterführend dokumentieren das offizielle Änderungsprotokoll und die Upgrade-Hinweise für PHP 8.6 die enthaltenen Korrekturen und mögliche Inkompatibilitäten. Das PHP-Projekt plant die erste allgemein verfügbare Version weiterhin für den 19. November 2026. Bis dahin bleibt RC7 eine Testausgabe und sollte nicht auf produktiven Webservern eingesetzt werden.
Meroth IT-Service ist Ihr lokaler IT-Dienstleister in Frankfurt am Main für kleine Unternehmen, Selbstständige und Privatkunden
Kostenfreie Ersteinschätzung Ihres Anliegens?
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten