PHP Foundation arbeitet mit 974.000 $ Jahresbudget und einer Vollzeitkraft, während Code-Vorschläge sich verdoppeln
Wichtige Erkenntnisse
- •Die PHP Foundation arbeitet mit einem Jahresbudget von rund 974.000 $ und nur einer einzigen Vollzeitkraft, Geschäftsführerin Elizabeth Barron, unterstützt von 14 überwiegend Teilzeitkräften und einem unbezahlten Vorstand.
- •Seit der Gründung Ende 2021 hat die Foundation 3,06 Millionen $ eingenommen, verfügt jedoch nur noch über 356.614,52 $ – etwa vier Monate Ausgaben –, wobei wiederkehrende monatliche Zusagen von rund 9.416 $ nur etwa 12 % des Budgets decken.
- •PHP veröffentlichte am 21. Oktober Patches für zwei Schwachstellen mit einem Schweregrad von 9,2 von 10, die als PHP2Shell (CVE-2026-109618 und CVE-2026-109619) bezeichnet werden und unauthentifizierte Code-Ausführung ermöglichen sowie Passwörter und API-Schlüssel aus dem Speicher preisgeben können; Korrekturen sind in den Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 verfügbar.
- •Cloudflare registrierte Millionen von Ausnutzungsversuchen, und Regierungswebsites in Finnland, den Niederlanden und Frankreich fielen vorübergehend aus, wobei Barron sagte, es gebe keine Hinweise darauf, dass Hacker die Schwachstellen vor der Offenlegung oder auf gepatchten Seiten ausgenutzt hätten.
- •Automattic hat 762.500 $ und JetBrains 476.670 $ beigetragen, wobei die vier größten Unterstützer mehr als 1,6 Millionen $ – über die Hälfte aller gesammelten Mittel – beisteuerten, während sich die vorgeschlagenen PHP-Code-Änderungen binnen eines Jahres fast verdoppelt haben und die Kapazität der Prüfer übersteigen.
Die PHP Foundation, die gemeinnützige Organisation, die die Entwicklung der Programmiersprache hinter einem Großteil des Webs finanziert, verfügt über ein Jahresbudget von rund 974.000 $ und genau eine Vollzeitkraft, wie Geschäftsführerin Elizabeth Barron am Freitag sagte – während zwei kritische Sicherheitslücken diese Woche eine weltweite Patch-Aktion auslösten.
Eine einzige Vollzeitkraft und 14 Vertragsnehmer
„Wir haben eine Vollzeitkraft (das bin ich) und 14 überwiegend Teilzeit-Vertragsnehmer“, sagte Barron in einem Interview. Der Vorstand der Foundation ist unbezahlt, und das Geld stammt aus Zuschüssen und Spenden.
Die Open Collective-Seite der Foundation weist ein Jahresbudget von 974.057,80 $ aus. Seit der Gründung Ende 2021 hat die Organisation 3,06 Millionen $ eingenommen und 2,70 Millionen $ ausgegeben, sodass 356.614,52 $ verbleiben – genug, um etwa vier Monate Ausgaben zu decken. Die Seite zeigt, dass 1.927 Menschen gespendet haben und 340 Menschen monatliche Zusagen im Gesamtwert von rund 9.416 $ halten. Über ein volles Jahr gerechnet würde dieser wiederkehrende Betrag etwa 113.000 $ ausmachen – rund 12 Prozent des Budgets –, während der Rest der Finanzierung durch größere Zuschüsse und Spenden zustande kommt.
Barron sagte, die vorgeschlagenen Änderungen am PHP-Code hätten sich innerhalb eines Jahres fast verdoppelt, und die Beitragenden kämen nicht hinterher. Jede Einreichung und jeder Fehlerbericht muss weiterhin von erfahrenen Personen geprüft werden.
Künstliche Intelligenz wirkt in beide Richtungen, wie sie anmerkte. KI half Forschern, die beiden Schwachstellen zu entdecken, die ein Jahrzehnt lang im PHP-Code schlummerten, und sie macht Programmierer schneller – erhöht aber auch den Prüfungsaufwand für die Betreuer. Sie bezeichnete die Sprache als massiv unterfinanziert, angesichts dessen, wie stark Unternehmen und Regierungen auf PHP setzen.
Unterstützer und Ausgaben
Automattic ist seit Dezember 2021 mit 762.500 $ der größte Unterstützer der Foundation, gefolgt von JetBrains mit 476.670 $. Der Sovereign Tech Fund hat rund 214.115 $ bereitgestellt, die Linux Foundation 183.500 $. Kleinere Beträge stammen von Private Packagist, Craft CMS, Cybozu und Tideways, während Zend by Perforce 56.000 $ und GoDaddy 48.000 $ beigetragen haben. Das Chainguard Team hat seit dem 21. Oktober, dem Tag der PHP-Patch-Veröffentlichung, 50.000 $ beigesteuert. Zusammen machen die vier größten Unterstützer mehr als 1,6 Millionen $ aus – über die Hälfte der bisher aufgenommenen 3,06 Millionen $.
Die Foundation gibt auf ihrer Seite an, dass sie Entwickler für die Arbeit an der Sprache PHP bezahlt. Die Kernentwickler-Arbeit ist die größte ausgezeichnete Ausgabenkategorie und macht 227 Zahlungen mit insgesamt rund 1,11 Millionen $ von 526 bezahlten Ausgaben aus.
PHP2Shell-Schwachstellen lösten Millionen Ausnutzungsversuche aus
PHP veröffentlichte am 21. Oktober Patches für CVE-2026-109618 und CVE-2026-109619, beide mit einem Schweregrad von 9,2 von 10, wie Cryptopolitan berichtete. Das als PHP2Shell bezeichnete Duo könnte Angreifern die Ausführung von Code ohne Anmeldung ermöglichen. Wiz zeigte, dass die Schwachstellen auch Passwörter und API-Schlüssel aus dem Speicher auslesen können. Die korrigierten Versionen sind PHP 8.5.12, 8.4.27, 8.3.36 und 8.2.35 – die vier Versionen, an denen Website-Betreiber ihre Deployments überprüfen können.
Cloudflare registrierte Millionen von Ausnutzungsversuchen, und Regierungswebsites in Finnland, den Niederlanden und Frankreich gingen vorübergehend offline. Die Foundation arbeitet mit OpenAI, Wiz und Calif an der Behebung der Probleme.
Barron sagte, es gebe keine Hinweise darauf, dass Hacker die Schwachstellen vor ihrer Offenlegung oder auf gepatchten Seiten ausgenutzt hätten.
PHP, eine Open-Source-Sprache, die über 30 Jahre alt ist, wird laut W3Techs auf 69,3 % der Websites eingesetzt, bei denen die serverseitige Sprache bekannt ist.
