#PHP

2026年8月6日公開のWordPress 7.0.3は、ログイン画面の未認証XSS（CVE-2026-64638、XSS2Shell、CVSS 8.9）を含む脆弱性群を修正した。空白入りの`< area`がstrip_tagsを素通りしてKSESで実タグに戻る判定差を起点に、管理者のクリック一回でプラグインアップロードによるPHP実行まで繋がる連鎖と、全バージョンが影響し修正が4.7まで遡る対応範囲を整理した。

WordPress Coreが7.1へ向けてPHPUnitのGitHub Actionsジョブを削減した。PRではテストするPHPを下限側と上限側に絞り、trunkでは週次で全PHPバージョンを走らせる条件と、再実行率が約68%から約36%へ下がった差分を調べた。

Joomla Content Editor 2.9.99.4以前の未認証プロファイル取り込みからPHPコード実行。CISA KEV追加で期限は2026年6月19日。JCE 2.9.99.7への更新と、侵害済みサイトの不正プロファイル・ウェブシェル確認まで必要。

Composer 2.9.8と2.2.28で修正されたCVE-2026-45793。GitHubの新形式GITHUB_TOKENがハイフンを含むことで検証に落ち、CIログへ平文表示される条件と、GitHubの再ロールアウト前に確認する範囲を整理する。

WordPress 7.0（5月20日予定）からリアルタイム共同編集が外れ、AI Client・Connectors API・PHP-only block registrationが残った。wp_ai_client_prompt()のコード例とfunctions.phpの実装パターン、保存戦略ベンチマークで約52%高速化でも見送った経緯を扱う

exp(x) - ln(y) という1つの二項演算子と定数1だけで、四則演算・三角関数・対数・円周率まで表現できるという論文を読んだ。NANDゲートの連続数学版という触れ込みだが、実際どこまで使えるのか調べた。

PHPUnitのPHPTテストランナーに安全でないデシリアライズの脆弱性が発見された。CI/CDパイプラインへの攻撃リスクとその対策をまとめた。

WebViewベースのAndroidアプリでFirebase Cloud Messaging（FCM）を使ったプッシュ通知を実装する方法。FCMトークンの仕組み、PHP/Kotlinのコード例、トピック機能による全体通知まで解説。

mysqldumpの条件付きコメントに頼っていたらマイグレーションが失敗した事故と、その解決策について

Claude Code に追加された LSP 機能を PHP 環境で検証。phpactor は Windows で動かず、intelephense も認識されず、調べたら Issue #14803 で報告済みのバグだった。

DIコンテナを使わずに依存を管理しようとすると何が辛いのか。Reflectionを使った自動依存解決の仕組みと、リポジトリパターンでの実践例を解説。

さくらインターネット・ロリポップのレンタルサーバー環境をDockerで再現する開発環境の構築方法