La PHP Foundation fonctionne avec 974 000 $ par an et un seul employé à temps plein, tandis que les propositions de code doublent
Points clés
- •La PHP Foundation fonctionne avec un budget annuel d'environ 974 000 $ et un seul employé à temps plein, la directrice exécutive Elizabeth Barron, soutenue par 14 prestataires majoritairement à temps partiel et un conseil d'administration non rémunéré.
- •Depuis son lancement fin 2021, la fondation a collecté 3,06 millions de dollars mais ne dispose plus que de 356 614,52 $, soit environ quatre mois de dépenses, les promesses de don mensuelles d'environ 9 416 $ ne couvrant qu'environ 12 % de son budget.
- •PHP a publié des correctifs le 21 octobre pour deux failles notées 9,2 sur 10, surnommées PHP2Shell (CVE-2026-109618 et CVE-2026-109619), qui permettent l'exécution de code sans authentification et peuvent exposer des mots de passe et des clés API en mémoire, avec des correctifs disponibles dans les versions 8.5.12, 8.4.27, 8.3.36 et 8.2.35.
- •Cloudflare a enregistré des millions de tentatives d'exploitation et des sites gouvernementaux en Finlande, aux Pays-Bas et en France ont été temporairement hors ligne, même si Barron a déclaré qu'aucune preuve n'indiquait que les failles aient été exploitées avant leur divulgation ou sur des sites corrigés.
- •Automattic a contribué à hauteur de 762 500 $ et JetBrains de 476 670 $, les quatre plus grands soutiens fournissant plus de 1,6 million de dollars, soit plus de la moitié des fonds collectés, tandis que les propositions de modifications du code PHP ont presque doublé en un an, dépassant la capacité de révision.
La PHP Foundation, l'organisation à but non lucratif qui finance le développement du langage de programmation à la base d'une grande partie du web, fonctionne avec un budget annuel d'environ 974 000 $ et un effectif d'un seul employé à temps plein, a déclaré vendredi la directrice exécutive Elizabeth Barron, tandis que deux failles de sécurité critiques ont déclenché un effort mondial de correction cette semaine.
Un seul employé à temps plein et 14 prestataires
« Nous avons un seul employé à temps plein (c'est moi) et 14 prestataires majoritairement à temps partiel », a déclaré Barron dans un entretien. Le conseil d'administration de la fondation n'est pas rémunéré, et ses fonds proviennent de subventions et de dons.
La page Open Collective de la fondation indique un budget annuel de 974 057,80 $. Depuis son lancement fin 2021, l'organisation a collecté 3,06 millions de dollars et en a dépensé 2,70 millions, laissant 356 614,52 $ — de quoi couvrir environ quatre mois de dépenses. La page montre que 1 927 personnes ont fait un don et que 340 personnes ont souscrit des promesses de don mensuelles d'une valeur totale d'environ 9 416 $. Si ce flux récurrent se maintient pendant une année complète, il représenterait environ 113 000 $ — soit à peu près 12 % du budget — le reste du financement de la fondation provenant de subventions et de dons plus importants.
Barron a indiqué que les propositions de modifications du code PHP ont presque doublé en un an, et que les contributeurs n'ont pas suivi le rythme. Chaque soumission et chaque rapport de bug doit encore être examiné par des personnes expérimentées.
L'intelligence artificielle est une arme à double tranchant, a-t-elle noté. L'IA a aidé les chercheurs à détecter les deux failles, qui étaient présentes dans le code PHP depuis une décennie, et elle rend les programmeurs plus rapides — mais elle alourdit aussi la charge de révision pour les mainteneurs. Elle a décrit le langage comme gravement sous-financé compte tenu de la dépendance des entreprises et des gouvernements envers PHP.
Partenaires et dépenses
Automattic est le plus grand soutien de la fondation depuis décembre 2021 avec 762 500 $, suivi de JetBrains avec 476 670 $. Le Sovereign Tech Fund a apporté environ 214 115 $ et la Linux Foundation 183 500 $. Des montants plus modestes proviennent de Private Packagist, Craft CMS, Cybozu et Tideways, tandis que Zend by Perforce a donné 56 000 $ et GoDaddy 48 000 $. L'équipe Chainguard a contribué à hauteur de 50 000 $ depuis le 21 octobre, jour de la publication des correctifs par PHP. Ensemble, les quatre plus grands soutiens représentent plus de 1,6 million de dollars — soit plus de la moitié des 3,06 millions de dollars collectés à ce jour.
La fondation indique sur sa page qu'elle rémunère les développeurs qui travaillent sur le langage PHP. Le travail sur le cœur du langage constitue sa plus grande catégorie de dépenses, avec 227 paiements totalisant environ 1,11 million de dollars sur 526 dépenses réglées.
Les failles PHP2Shell ont atté des millions de tentatives d'exploitation
PHP a publié des correctifs pour CVE-2026-109618 et CVE-2026-109619 le 21 octobre, tous deux avec un indice de gravité de 9,2 sur 10, a rapporté Cryptopolitan. Ce duo, surnommé PHP2Shell, pourrait permettre à des attaquants d'exécuter du code sans s'authentifier. Wiz a démontré que les failles peuvent également exposer des mots de passe et des clés API présents en mémoire. Les versions corrigées sont PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 — les quatre versions que les opérateurs de sites peuvent vérifier par rapport à leurs déploiements.
Cloudflare a enregistré des millions de tentatives d'exploitation, et des sites web gouvernementaux en Finlande, aux Pays-Bas et en France ont été temporairement hors ligne. La fondation travaille avec OpenAI, Wiz et Calif pour corriger les problèmes.
Barron a déclaré qu'il n'existait aucune preuve que des pirates aient exploité les failles avant leur divulgation ou sur des sites corrigés.
PHP, un langage open-source de plus de 30 ans, est utilisé sur 69,3 % des sites web dont le langage côté serveur est connu, selon W3Techs.
