خبر

تیم PHP نسخه‌ی 8.6.0 RC2 رو در ۲۴ سپتامبر منتشر کرد. این نسخه در واقع به‌جای RC1 منتشر شده، چون هنگام بسته‌بندی RC1 مشکلی پیش اومده بود و RC2 عملاً اولین release candidate قابل استفاده‌ی این چرخه محسوب می‌شه.

RC2 برای تست featureها و پیدا کردن regressionها منتشر شده و نباید در production استفاده بشه. نسخه‌ی RC3 برای ۸ اکتبر برنامه‌ریزی شده و انتشار نهایی PHP 8.6 بعد از پایان چرخه‌ی release candidate انجام می‌شه.

تیم PHP در ۲۴ سپتامبر چند نسخه‌ی جدید برای شاخه‌های پشتیبانی‌شده منتشر کرد: PHP 8.5.11، 8.4.26، 8.3.35 و 8.2.34. هر چهار نسخه، security release هستن و شامل رفع آسیب‌پذیری‌ها و باگ‌های امنیتی می‌شن.

اگه از یکی از این شاخه‌ها استفاده می‌کنی، آپدیت به آخرین patch نسخه‌ی مربوطه توصیه می‌شه. در همین روز، PHP 8.6.0 RC2 هم برای تست منتشر شد، اما این نسخه هنوز برای production مناسب نیست.

وردپرس روز سه‌شنبه (۲۲ سپتامبر) نسخه‌ی ۷.۱.۲ رو منتشر کرد، این‌بار برای رفع یه آسیب‌پذیری بحرانی (CVE-2026-87902) توی تابع get_page_template(). این باگ به یه مهاجم بدون نیاز به هیچ اکانتی اجازه میده وردپرس رو مجبور کنه یه فایل PHP دلخواه از خارج پوشه‌ی theme فعال بارگذاری کنه، و روی سرورهایی با شرایط خاص، این کار می‌تونه مستقیم به اجرای کد روی سرور منجر بشه. این آسیب‌پذیری تمام نسخه‌های وردپرس از ۴.۷.۰ تا ۷.۱.۱ رو تحت تأثیر قرار میده، یعنی تقریباً هر سایتی که آپدیت نکرده باشه، در معرض خطره.

نگران‌کننده‌تر اینه که این دیگه فقط یه ریسک تئوری نیست: طبق گزارش تیم امنیتی Patchstack، فقط چند ساعت بعد از انتشار پچ، مهاجم‌ها شروع به اسکن سایت‌های وردپرسی برای این آسیب‌پذیری کردن، و از ۲۳ سپتامبر ابزارهای عمومی اسکن (از جمله یه Nuclei template مشخص) برای این CVE در گردش هستن؛ بعضی حملات مشاهده‌شده حتی از فایل pearcmd.php برای نوشتن فایل‌های PHP مخرب روی سرور استفاده می‌کنن. اگه سایتت آپدیت خودکار نداره، الان دیگه واقعاً وقتشه: از داشبورد وردپرس بخش Updates رو باز کن و «Update Now» رو بزن، یا مستقیم از WordPress.org نسخه‌ی ۷.۱.۲ رو دانلود کن.

اوپن‌ای‌آی سه‌شنبه (۲۲ سپتامبر)، فقط چند هفته بعد از انتشار GPT-6 Astra، دو تا عضو جدید به خانواده‌ی GPT-6 اضافه کرد: GPT-6 Sol و GPT-6 Luna. یه نکته‌ی مهم که خیلی راحت میشه گمش کرد اینه که برخلاف نسل GPT-5.6 (که سه سطح Sol، Terra و Luna داشت)، فعلاً هیچ GPT-6 Terra ای منتشر نشده — یعنی اگه دنبال جایگزین GPT-5.6 Terra می‌گردی، فعلاً باید صبر کنی.

قیمت، نصف شده

بزرگ‌ترین خبر این انتشار، کاهش قیمته. GPT-6 Sol حالا با نرخ ۲ دلار ورودی و ۱۰ دلار خروجی به ازای هر میلیون توکن عرضه شده (در برابر ۴ و ۲۰ دلار نسخه‌ی GPT-5.6 Sol)، و GPT-6 Luna هم به ۰.۱ و ۰.۵ دلار رسیده (در برابر ۰.۲ و ۱.۲ دلار قبلی). طبق اعلام اوپن‌ای‌آی، این کاهش قیمت مستقیماً حاصل بهبود caching و inference بوده، و برخلاف قیمت‌گذاری تبلیغاتی و موقتی GPT-5.6، این‌بار قیمت جدید همون قیمت پیش‌فرض و دائمیه.

عملکرد بهتر، ولی نه یه جهش بزرگ

از نظر توانایی خام، این دو مدل پیشرفت واقعی دارن ولی جهش چشمگیری مثل Astra نیستن. روی بنچمارک مهندسی نرم‌افزار DeepSWE v1.1، GPT-6 Sol توی effort سطح max به ۶۸.۸ درصد رسیده، فقط ۱.۱ درصد کمتر از Claude Fable 5 (که ۶۹.۹ درصد گرفته بود)، اونم با حدود ۸۰ درصد هزینه‌ی کمتر به ازای هر تسک. روی AutomationBench هم Sol با effort سطح xhigh عدد ۳۳.۲ درصد گرفته، در برابر ۲۶.۹ درصد Claude Opus 5، با هزینه‌ای معادل فقط ۹ درصد Opus 5. روی OSWorld 2.0 (بنچمارک کارهای طولانی‌مدت استفاده از کامپیوتر) هم Sol تقریباً هم‌سطح Claude Opus 5 عمل کرده (۶۰.۵ در برابر ۶۰.۳ درصد)، با حدود ۸۰ درصد هزینه‌ی کمتر.

Luna هم داستان مشابهی داره: توی effort سطح max، به سطح عملکرد GPT-5.6 Sol در effort متوسط می‌رسه، اونم با یک‌دهم هزینه. اوپن‌ای‌آی همچنین ادعا کرده روی ارزیابی داخلی factuality (که بر پایه‌ی مکالمات واقعی کاربرهایی هست که اشتباه مدل رو گزارش کرده بودن)، GPT-6 Sol تقریباً نصف نسخه‌ی قبلی خطا داره و به سطح قابلیت‌اطمینان Astra رسیده، اونم با هزینه‌ی خیلی کمتر.

سبک ارتباطی Astra، حالا روی مدل‌های ارزون‌تر هم

یکی از تغییرات کمتر فنی ولی محسوس، انتقال سبک ارتباطی GPT-6 Astra به Sol و Luna هست: طبق اوپن‌ای‌آی، این یعنی وضوح بیشتر، اصطلاحات تخصصی کمتر، جمله‌بندی‌های عجیب کمتر، جزئیات کم‌ارزش کمتر، و پاسخ‌های کمی کوتاه‌تر بدون از دست دادن محتوا — چیزی که قراره توی مکالمات فنی و کدنویسی بیشتر حس بشه.

آنتروپیک روز سه‌شنبه (۲۲ سپتامبر) اولین مدل از خانواده‌ی جدید ۵.۵ رو منتشر کرد: Claude Opus 5.5. این انتشار فقط دو ماه بعد از Opus 5 (که ۲۴ ژوئیه اومده بود) اتفاق افتاده و طبق گفته‌ی خود آنتروپیک، این اولین مدلیه که بعد از فراخوان این شرکت برای «کند کردن سرعت پیشرفت فرانتیر» منتشر میشه — یه جمله که به‌خاطر بحث‌های اخیر صنعت درباره‌ی ریسک‌های شتاب توسعه‌ی هوش مصنوعی اهمیت پیدا کرده.

عملکردی هم‌تراز با Fable، با هزینه‌ی خیلی کمتر

مهم‌ترین ادعای آنتروپیک اینه که Opus 5.5 روی بیشتر کارها هم‌سطح با Claude Fable 5.1 عمل می‌کنه — یعنی مدل بالاترین‌رده‌ی این شرکت — ولی ۴۰ درصد ارزون‌تر از Opus 5 اجراش می‌کنه. قیمت جدید API برای هر میلیون توکن ورودی ۴ دلار و برای خروجی ۲۰ دلاره (در برابر ۵ و ۲۵ دلار نسخه‌ی قبلی)؛ هزینه‌ی cache read هم به ۰.۲ دلار رسیده. سرعت تولید خروجی هم بیش از ۳۰ درصد نسبت به Opus 5 بالاتر رفته، و یه حالت جدید به اسم Fast Mode توی Claude Code و Claude Platform هم اضافه شده که با هزینه‌ی بیشتر (۸ دلار ورودی و ۴۰ دلار خروجی) تا ۲.۵ برابر سرعت میده.

روی بنچمارک‌ها، Opus 5.5 عدد ۶۶.۴ درصد روی Terminal-Bench 4.0، ۵۴.۴ درصد روی FrontierCode v1.1 و ۵۷.۸ درصد روی CursorBench 4.0 گرفته. طبق ادعای آنتروپیک، این مدل روی FrontierCode از GPT-6 Astra اوپن‌ای‌آی هم با حدود ۲۰ درصد هزینه‌ی کمتر جلو زده، و روی CursorBench هم از GPT-5.6 Sol با اختلاف ۱۱ امتیاز و تقریباً یک‌سوم هزینه پیشی گرفته.

کدنویسی، تمرکز اصلی این نسخه

کدنویسی محور اصلی این آپدیت بوده. یکی از تسترهای اولیه تونسته یه codebase دویست‌هزار خطی رو در کمتر از سه ساعت ممیزی و رفع اشکال کنه، کاری که با Opus 5 بیش از بیست ساعت طول می‌کشیده، اونم با مصرف ۲.۵ برابر کمتر توکن. یه مثال دیگه‌ای که آنتروپیک اشاره کرده، یه migration کد ۶۸۰ هزار خطی بوده که یه تستر تونسته کمتر از یک روز تمومش کنه — کاری که برای یه تیم مهندسی چند هفته طول می‌کشید. توی یه تست دیگه که هدفش کاهش زمان بارگذاری صفحات یه اپلیکیشن وب بود، Opus 5.5 توی ۳۹ مورد از ۴۰ مورد موفق شده بدون تغییر رفتار اپ این کار رو انجام بده، در حالی که Opus 5 بهبودهای کوچیک‌تری داده و در کنارش رفتار اپ رو هم تغییر داده بود.

تغییر لحن ارتباطی و ایمنی

این هفته یه لینک ساده به اسم try.cloudflare.com سروصدای زیادی توی هکرنیوز به پا کرد، اونم نه به‌خاطر یه محصول جدید، بلکه به‌خاطر بازطراحی صفحه‌ی فرود Quick Tunnels — یه قابلیت که خود Cloudflare از سال ۲۰۱۹ داره ارائه میده. کلادفلر این‌بار موقعیت‌یابی این ابزار رو کاملاً عوض کرده و اون رو به‌عنوان یه ابزار کلیدی برای «عصر ایجنت‌ها» معرفی کرده — یعنی زمانی که خیلی از کارها، از تست کردن webhook گرفته تا دادن یه endpoint واقعی به یه coding agent، دیگه توسط انسان دستی انجام نمیشه.

Quick Tunnels دقیقاً چیکار می‌کنه؟

ایده‌ی اصلی این ابزار خیلی ساده‌ست: یه سرور local رو، بدون هیچ اکانت، فایل کانفیگ، یا انتظار برای propagate شدن DNS، به یه URL عمومی و امن تبدیل می‌کنه. فقط کافیه ابزار cloudflared رو نصب کنی و یه دستور بزنی؛ در عرض چند ثانیه یه آدرس عمومی با HTTPS خودکار، محافظت DDoS در سطح edge، و بدون افشای IP واقعیت در اختیارت میذاره. پشت صحنه، cloudflared یه اتصال رمزنگاری‌شده به نزدیک‌ترین دیتاسنتر کلادفلر برقرار می‌کنه؛ یعنی روتر یا فایروال تو هیچ‌وقت مستقیم ترافیک ورودی قبول نمی‌کنه، و همه‌چیز از طریق همون اتصال خروجی رد و بدل میشه.

چرا الان، و چرا این موقعیت‌یابی؟

نکته‌ای که این بازطراحی رو جالب کرده، تأکید تازه‌ی کلادفلر روی کاربردهایی مثل دادن یه endpoint واقعی به یه coding agent، اجرای browser test، یا دریافت webhook هست — یعنی دقیقاً همون سناریوهایی که این روزها با رشد ابزارهای agentic زیاد شدن. قبلاً بیشترین کاربرد Quick Tunnels محدود به به اشتراک گذاشتن یه پیش‌نمایش سریع بین همکارها بود؛ حالا کلادفلر داره روی این تأکید می‌کنه که یه agent هم می‌تونه بدون دخالت انسان، یه سرویس local رو موقتاً روی اینترنت expose کنه تا بتونه باهاش تعامل داشته باشه.

واکنش کامیونیتی؛ بین استقبال و شک

با این حال، واکنش هکرنیوز به این خبر یکدست نبوده. بخشی از بحث‌ها حول این نکته چرخیده که این صفحه، در واقع یه landing page تازه برای یه محصول پنج‌ساله‌ست، نه یه قابلیت واقعاً جدید — بعضی کاربرها حتی پیشنهاد دادن که عنوان خبر باید به وضوح مشخص کنه این یه محصول از سال ۲۰۲۱ هست، نه یه چیز تازه. این‌جور واکنش بخشی از الگوی همیشگی هکرنیوزه: وقتی یه شرکت بزرگ یه محصول قدیمی رو با ظاهر و پیام جدید دوباره معرفی می‌کنه، همیشه یه بخش از مخاطبین بهش با شک نگاه می‌کنن.

تیم Laravel نسخه‌ی 13.31.0 را در ۹ سپتامبر منتشر کرد. این نسخه چند قابلیت جدید برای Queue و Eloquent اضافه کرده؛ از جمله متد Queue::totalSize() برای مشاهده‌ی تعداد کل jobهای موجود در یک queue، رویداد JobInterrupted برای مدیریت jobهایی که توسط worker متوقف می‌شوند و پشتیبانی از chaperone() در روابط BelongsToMany با custom pivot model.

در این نسخه همچنین متد devServerUrl() به Vite اضافه شده، assertionهای ساده‌تر assertSentOnce و assertQueuedOnce برای Mail و Notification در دسترس قرار گرفته و چندین باگ در Queue، Redis، Eloquent، HTTP Client و بخش‌های مختلف فریم‌ورک برطرف شده است.

اگر از Laravel 13 استفاده می‌کنی، این نسخه مجموعه‌ای از قابلیت‌ها و bug fixهای جدید را در اختیار قرار می‌دهد.

تیم Laravel نسخه‌ی 1.0 پکیج Laravel MCP را در ۱۵ سپتامبر منتشر کرد؛ اولین نسخه‌ی stable این پکیج برای ساخت Model Context Protocol (MCP) Server در اپلیکیشن‌های Laravel. این نسخه از پروتکل MCP 2026-07-28 پشتیبانی می‌کند و به اپلیکیشن‌ها اجازه می‌دهد ابزارها و داده‌های خود را در اختیار AI applications قرار دهند.

از قابلیت‌های مهم این نسخه می‌توان به Searchable Tool Catalogs برای جست‌وجوی ابزارها در صورت نیاز، Cache Hints برای مشخص‌کردن نحوه‌ی cache شدن پاسخ‌ها، پشتیبانی از Stateless Server و تغییرات OAuth شامل الزام PKCE اشاره کرد. همچنین پشتیبانی از MCP Apps در extensions اضافه شده است.

اگر از نسخه‌ی 0.9 مهاجرت می‌کنی، باید نحوه‌ی ارسال requestها و headerهای MCP را بررسی کنی؛ نسخه‌ی 1.0 تغییراتی در protocol headers، session handling و بعضی APIها ایجاد کرده است.

تیم Node.js در ۲۲ سپتامبر نسخه‌ی 26.10.0 را به‌عنوان یک Current release منتشر کرد. این نسخه چند قابلیت جدید در بخش‌های مختلف Node.js اضافه می‌کند؛ از جمله crypto.parsePKCS12() برای کار با PKCS#12، امکان بارگذاری libraryها از VFS در ffi، متد fs.openAsBlobSync() و پشتیبانی از ارسال net.BoundSocket به threadها و child processها.

در بخش perf_hooks هم دو قابلیت جدید برای Histogram اضافه شده: SlidingWindowHistogram و پشتیبانی از QRDE analysis. علاوه بر این، util.throttle() و util.debounce() نیز به Node.js اضافه شده‌اند و چندین bug fix و بهبود تست هم در این نسخه وجود دارد.

اگر روی شاخه‌ی Node.js 26 Current هستید، این نسخه شامل قابلیت‌های جدید این شاخه است و می‌توانید آن را از منبع رسمی Node.js دریافت کنید.

تیم Django در ۲۲ سپتامبر اعلام کرد که DEP 19 توسط Steering Council و هیئت‌مدیره‌ی Django Software Foundation تصویب شده و ساختار جدید Technical Governance پروژه از این پس مبنای مدیریت فنی Django خواهد بود.

هدف اصلی این تغییر، ساده‌تر و قابل‌دسترس‌تر کردن فرآیند مدیریت فنی پروژه است. یکی از تغییرات مهم هم بازتعریف شرایط عضویت در Steering Council است تا طیف گسترده‌تری از اعضای جامعه بتوانند واجد شرایط عضویت و نامزدی در این شورا باشند.

در مرحله‌ی بعد، مستندات Django و djangoproject.com بر اساس ساختار جدید به‌روزرسانی می‌شوند و DEP 19 وارد وضعیت نهایی خواهد شد.

تیم Laravel نسخه‌ی 13.30.0 رو در ۱ سپتامبر منتشر کرد. این release چند قابلیت و بهبود جدید داره؛ از جمله اضافه‌شدن chunkBy() به Collection و Lazy Collection برای گروه‌بندی آیتم‌های مجاور، امکان نمایش دلیل توقف worker در خروجی queue:work، پشتیبانی از DSNهای sqlsrv: برای SQL Server و متدهای totalPendingSize()، totalDelayedSize() و totalReservedSize() برای Cloud Queue. همچنین Storage::path() حالا مسیرهایی که از root دیسک خارج می‌شن رو رد می‌کنه و DevCommands امکان صرف‌نظر کردن از vendor و default commands رو فراهم می‌کنه.

اگه از Laravel 13 استفاده می‌کنی، می‌تونی dependency رو به 13.30.0 ارتقا بدی تا این قابلیت‌ها و اصلاحات رو دریافت کنی.

تیم NestJS نسخه‌ی 12.0.4 رو در ۲۱ سپتامبر منتشر کرد. این یه patch release هست و بیشتر تمرکزش روی رفع باگ‌های بخش microservices قرار داره؛ از جمله retry شدن Kafka بعد از connection failure، مدیریت درخواست‌های pending در RabbitMQ و NATS هنگام بسته‌شدن client، مدیریت بهتر namespaceهای ناقص در gRPC و اصلاح نحوه‌ی handling خطاهای message handlerها. همچنین چند مشکل مربوط به spanهای request/response و یک مشکل در core که می‌تونست باعث hang شدن sparse factory injection بشه برطرف شده. در کنار این‌ها، پشتیبانی از multer limits بهبود پیدا کرده و fastify هم به نسخه‌ی 5.12.5 آپدیت شده. اگر از NestJS 12 استفاده می‌کنی، ارتقا به 12.0.4 برای دریافت این bug fixها توصیه می‌شه.

استارتاپ TypeSafe AI، به سرپرستی دیه‌گو آلمیدا (یکی از اعضای سابق تیم RLHF اوپن‌ای‌آی)، بعد از دو سال کار مخفیانه و جذب ۴۰ میلیون دلار سرمایه، اولین مدلش به اسم Jev رو منتشر کرد. برخلاف LLM های معمول که متن رو توکن‌به‌توکن تولید می‌کنن، Jev یه «System 1 Model» هست: یه state متنی و چند سؤال typed بهش میدی و به‌جای پاراگراف، یه جواب ساختاریافته (بله/خیر، انتخاب، یا امتیاز) به‌همراه احتمالش برمی‌گردونه.

طبق ادعای TypeSafe، این مدل تا ۱۹۳.۶ برابر سریع‌تر و تا ۴۴۴.۶ برابر ارزون‌تر از LLM های معمول روی وظایف تصمیم‌گیری مثل routing، دسته‌بندی و امتیازدهی ریسکه. استقبال اولیه اونقدر زیاد بوده که سرورهای شرکت موقتاً از پس ترافیک برنیومدن، و همین الان از طریق AI Gateway ورسل، LiteLLM و چند پلتفرم دیگه هم در دسترسه.

تیم Go جزئیات یکی از بهبودهای performance در Go 1.27 رو منتشر کرد: Size-Specialized Memory Allocation.
در این نسخه، allocationهای کوچک‌تر از ۸۰ بایت با استفاده از مسیرهای تخصصی‌تر در runtime انجام می‌شن و بسته به workload می‌تونن تا ۲۰ تا ۳۰٪ سریع‌تر بشن؛ تیم Go می‌گه برنامه‌هایی که allocation زیادی انجام می‌دن، در مجموع می‌تونن حدود ۱٪ بهبود performance داشته باشن. این تغییر بدون نیاز به تغییر کد، صرفاً با build کردن پروژه با Go 1.27 فعال می‌شه و بیشترین تأثیرش روی allocationهای رایج ۱۶ و ۲۴ بایتی دیده می‌شه.

اگه پروژه‌ت رو با Go 1.27 build می‌کنی، این بهینه‌سازی به‌صورت خودکار در اختیارته و نیاز به تغییر خاصی در کد نداره.

تیم Gin نسخه‌ی 1.12.0 رو منتشر کرد. این release چند قابلیت جدید و مجموعه‌ای از بهبودهای performance و bug fix رو به همراه داره؛ از جمله پشتیبانی از BSON در render، متدهای جدید GetError و GetErrorSlice و Delete در Context، پشتیبانی از encoding.UnmarshalText در URI و query binding و امکان استفاده از escaped path در routing. علاوه بر این، چند بهینه‌سازی برای router و recovery انجام شده و چند مشکل از جمله resource leak در RunFd و panic در بعضی مسیرهای routing برطرف شده. حداقل نسخه‌ی موردنیاز Go هم در این release به Go 1.25 افزایش پیدا کرده.

اگه از Gin استفاده می‌کنی، برای دریافت این تغییرات می‌تونی dependency رو به نسخه‌ی 1.12.0 ارتقا بدی.

تیم NestJS نسخه‌ی 12.0.3 رو در ۱۵ سپتامبر منتشر کرد. این یه patch release هست و تغییر اصلیش مربوط به بخش microservices میشه؛ در این نسخه مشکلی برطرف شده که باعث می‌شد Kafka processing end hook همیشه اجرا نشه.

اما بخش مهم‌تر این release، هم‌زمانی اون با چند Security Advisory جدیده. در ۱۵ سپتامبر سه آسیب‌پذیری برای NestJS منتشر شد: یکی امکان Remote Process Termination از طریق پیام‌های عمیقاً تو‌در‌تو در microserviceها، یکی Path-scoped Middleware Bypass از طریق absolute-form request target و دیگری Unbounded Memory Growth در TCP microservice transport. دو مورد اول با شدت High و مورد سوم با شدت Moderate ثبت شده‌اند.

اگه از NestJS و مخصوصاً @nestjs/microservices استفاده می‌کنی، بهتره وضعیت dependencyهات رو بررسی کنی و نسخه‌های اصلاح‌شده رو در پروژه اعمال کنی؛ مخصوصاً اگر از Kafka، TCP transport یا Fastify middleware استفاده می‌کنی.