La PHP Foundation, la organización sin fines de lucro que financia el desarrollo del lenguaje de programación detrás de gran parte de la web, opera con un presupuesto anual de aproximadamente 974 mil dólares y una nómina de una sola empleada de tiempo completo, declaró el viernes la directora ejecutiva Elizabeth Barron, en momentos en que dos fallas críticas de seguridad desencadenaron un esfuerzo mundial de parchado esta semana.

Una sola persona de tiempo completo y 14 contratistas

“Tenemos un miembro del personal de tiempo completo (soy yo) y 14 contratistas en su mayoría de medio tiempo”, dijo Barron en una entrevista. El consejo directivo de la fundación no recibe remuneración y su financiación proviene de subvenciones y donaciones.

La página de la fundación en Open Collective indica su presupuesto anual como 974,057.80 dólares. Desde su lanzamiento a finales de 2021, la organización ha recaudado 3.06 millones de dólares y ha gastado 2.70 millones, dejando 356,614.52 dólares — suficiente para cubrir unos cuatro meses de gastos. La página muestra que 1,927 personas han donado y que 340 personas tienen promesas mensuales de donación por un valor total de aproximadamente 9,416 dólares. Si se mantuviera durante un año completo, ese flujo recurrente ascendería a unos 113 mil dólares — alrededor del 12 por ciento del presupuesto — con el resto de la financiación de la fundación llegando a través de subvenciones y donaciones más grandes.

Barron dijo que las propuestas de cambios al código de PHP casi se han duplicado en un año, y que los colaboradores no han podido mantener el ritmo. Cada envío y reporte de errores todavía debe ser revisado por personas con experiencia.

La inteligencia artificial corta en ambos sentidos, señaló. La IA ayudó a los investigadores a detectar las dos fallas, que habían estado en el código de PHP durante una década, y hace que los programadores sean más rápidos — pero también añade carga de revisión para los mantenedores. Describió el lenguaje como gravemente subfinanciado dada la dependencia que empresas y gobiernos tienen de PHP.

Patrocinadores y gastos

Automattic ha sido el mayor patrocinador de la fundación desde diciembre de 2021 con 762,500 dólares, seguido de JetBrains con 476,670 dólares. El Sovereign Tech Fund ha aportado unos 214,115 dólares y la Linux Foundation 183,500 dólares. Montos menores provienen de Private Packagist, Craft CMS, Cybozu y Tideways, mientras que Zend by Perforce ha donado 56,000 dólares y GoDaddy 48,000 dólares. El equipo de Chainguard ha contribuido con 50,000 dólares desde el 21 de octubre, el día en que PHP lanzó sus parches. En conjunto, los cuatro mayores patrocinadores representan más de 1.6 millones de dólares — más de la mitad de los 3.06 millones recaudados hasta la fecha.

La fundación señala en su página que paga a desarrolladores para trabajar en el lenguaje PHP. El trabajo de desarrollo del núcleo es su mayor categoría de gastos etiquetados, con 227 pagos por un total de aproximadamente 1.11 millones de dólares de 526 gastos pagados.

Las fallas de PHP2Shell atrajeron millones de intentos de explotación

PHP emitió parches para CVE-2026-109618 y CVE-2026-109619 el 21 de octubre, ambos con una calificación de sever de 9.2 sobre 10, informó Cryptopolitan. El par, conocido como PHP2Shell, podría permitir a atacantes ejecutar código sin iniciar sesión. Wiz demostró que las fallas también pueden filtrar contraseñas y claves de API desde la memoria. Las versiones corregidas son PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 — las cuatro versiones contra las que los operadores de sitios pueden verificar sus despliegues.

Cloudflare registró millones de intentos de explotación, y sitios web gubernamentales de Finlandia, Países Bajos y Francia quedaron temporalmente fuera de línea. La fundación está trabajando con OpenAI, Wiz y Calif para corregir los problemas.

Barron dijo que no había evidencia de que hackers explotaran las fallas antes de su divulgación o en sitios parchados.

PHP, un lenguaje de código abierto con más de 30 años, se emplea en el 69.3% de los sitios web donde el lenguaje del lado del servidor es conocido, según W3Techs.