La PHP Foundation, l'organizzazione non profit che finanzia lo sviluppo del linguaggio di programmazione alla base di gran parte del web, opera con un budget annuo di circa 974.000 dollari e un solo dipendente a tempo pieno, ha dichiarato venerdì la direttrice esecutiva Elizabeth Barron, mentre due vulnerabilità di sicurezza critiche hanno innescato questa settimana uno sforzo di correzione su scala mondiale.

Un solo dipendente a tempo pieno e 14 collaboratori

"Abbiamo un solo membro del personale a tempo pieno (sono io) e 14 collaboratori per lo più part-time", ha dichiarato Barron in un'intervista. Il consiglio della foundation non è retribuito e i fondi provengono da sovvenzioni e donazioni.

La pagina Open Collective della foundation indica un budget annuo di 974.057,80 dollari. Dal lancio alla fine del 2021, l'organizzazione ha raccolto 3,06 milioni di dollari e ne ha spesi 2,70 milioni, lasciando 356.614,52 dollari — abbastanza da coprire circa quattro mesi di spese. La pagina mostra che 1.927 persone hanno donato e che 340 persone hanno sottoscrizioni mensili per un totale di circa 9.416 dollari. Se mantenute per un anno intero, quelle entrate ricorrenti ammonterebbero a circa 113.000 dollari — circa il 12% del budget — con il resto dei finanziamenti della foundation che arriva tramite sovvenzioni e donazioni più importanti.

Barron ha dichiarato che le proposte di modifica del codice PHP sono quasi raddoppiate in un anno, e che i contributori non sono riusciti a tenere il passo. Ogni contributo e segnalazione di bug deve ancora essere esaminato da persone esperte.

L'intelligenza artificiale è un'arma a doppio taglio, ha osservato. L'AI ha aiutato i ricercatori a rilevare le due vulnerabilità, presenti nel codice PHP da un decennio, e rende i programmatori più veloci — ma aggiunge anche carico di revisione per i manutentori. Ha descritto il linguaggio come gravemente sottofinanziato, considerato quanto aziende e governi dipendono da PHP.

Sostenitori e spese

Automattic è stato il maggiore sostenitore della foundation dal dicembre 2021 con 762.500 dollari, seguito da JetBrains con 476.670 dollari. Il Sovereign Tech Fund ha fornito circa 214.115 dollari e la Linux Foundation 183.500 dollari. Importi minori arriv da Private Packagist, Craft CMS, Cybozu e Tideways, mentre Zend by Perforce ha donato 56.000 dollari e GoDaddy 48.000 dollari. Il Chainguard Team ha contribuito con 50.000 dollari dal 21 ottobre, il giorno in cui PHP ha rilasciato le proprie patch. Insieme, i quattro maggiori sostenitori rappresentano oltre 1,6 milioni di dollari — più della metà dei 3,06 milioni raccolti finora.

La foundation dichiara sulla propria pagina di pagare gli sviluppatori per lavorare sul linguaggio PHP. Il lavoro sugli sviluppatori del core è la maggiore categoria di spesa etichettata, con 227 pagamenti per un totale di circa 1,11 milioni di dollari su 526 spese pagate.

Le vulnerabilità PHP2Shell hanno generato milioni di tentativi di sfruttamento

PHP ha rilasciato patch per CVE-2026-109618 e CVE-2026-109619 il 21 ottobre, entrambe con un rating di gravità di 9,2 su 10, ha riferito Cryptopolitan. La coppia, soprannominata PHP2Shell, potrebbe consentire agli attaccanti di eseguire codice senza effettuare l'accesso. Wiz ha mostrato che le vulnerabilità possono anche esporre password e chiavi API dalla memoria. Le versioni corrette sono PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35 — le quattro release con cui gli operatori dei siti possono confrontare le proprie installazioni.

Cloudflare ha registrato milioni di tentativi di sfruttamento, e i siti web governativi di Finlandia, Paesi Bassi e Francia sono andati temporaneamente offline. La foundation sta lavorando con OpenAI, Wiz e Calif per risolvere i problemi.

Barron ha dichiarato che non ci sono prove che gli hacker abbiano sfruttato le vulnerabilità prima della divulgazione o su siti già corretti.

PHP, un linguaggio open-source di oltre 30 anni, è utilizzato sul 69,3% dei siti web per i quali il linguaggio lato server è noto, secondo W3Techs.