ウェブの多くを支えるプログラミング言語の開発を資金面で支援する非営利団体PHP Foundationは、年間予算約97万4000ドル、常勤従業員わずか1名の体制で運営されていると、エグゼクティブディレクターのElizabeth Barron氏が金曜に述べた。今週、同言語の重大なセキュリティ脆弱性2件が、世界的なパッチ適合作業の発端となっていた。

常勤1名と契約スタッフ14名

「常勤スタッフは1名だけ(私のことです)で、あとはほぼ非常勤の契約スタッフ14名がいます」と、Barron氏はインタビューで語った。財団の理事会は無報酬で、資金は助成金と寄付で賄われている。

財団のOpen Collectiveページには、年間予算が97万4057.80ドルと記載されている。2021年末の設立以来、財団は306万ドルを調達し、270万ドルを支出しており、残高は35万6614.52ドル——およそ4か月分の経費に相当する。ページによると、寄付者は1927人、月次の定期支援をしているのは340人で、合計で月約9416ドルになる。これが1年間続いた場合、年間約11万3000ドル——予算の約12%——となり、残りは財団に寄せられるより大きな助成金や寄付によるものだ。

Barron氏によると、PHPコードへの変更提案はこの1年でほぼ2倍に増えたが、コントリビューターの処理能力が追いついていない。すべての提出物とバグ報告は、依然として経験を積んだ人間によるレビューを必要とする。

人工知能は諸刃の剣だと彼女は指摘する。AIは、PHPコード内に10年間も潜んでいた2件の脆弱性を研究者が発見するのに役立ち、プログラマーの作業を速くしている——しかし、メンテナーのレビュー負担も増やしている。企業や政府がPHPにどれほど依存しているかを考えれば、同言語の資金調達は著しく不足していると彼女は述べた。

###支援者と支出

2021年12月以降の最大の支援者はAutomatticで76万2500ドル、次いでJetBrainsが47万6670ドル。Sovereign Tech Fundが約21万4115ドル、Linux Foundationが18万3500ドルを提供している。Private Packagist、Craft CMS、Cybozu、Tidewaysからの額はより少なく、Zend by Perforceは5万6000ドル、GoDaddyは4万8000ドルを拠出した。Chainguard Teamは、PHPがパッチを公開した10月21日以降、5万ドルを寄付している。上位4者の支援額を合計すると160万ドル超——これまでに調達した306万ドルの半分以上を占める。

財団はページ上で、PHP言語の開発に取り組む開発者に報酬を支払っていると明記している。支出の最大のカテゴリはコア開発者の作業で、支払済み経費526件のうち227件、合計約111万ドルを占める。

PHP2Shell脆弱性に数百万件の攻撃試行

Cryptopolitanの報道によると、PHPは10月21日、重大度10段階中9.2と評価されたCVE-2026-109618およびCVE-2026-109619の2件の脆弱性に対するパッチを公開した。PHP2Shellと名付けられたこの一連の脆弱性は、攻撃者がログインなしでコードを実行できる可能性がある。Wizは、この脆弱性がメモリからパスワードやAPIキーを漏えいさせる恐れもあることを実証した。修正済みのリリースはPHP 8.5.12、8.4.27、8.3.36、8.2.35で、サイト運営者はこの4バージョンと自分の環境を照らし合わせて確認できる。

Cloudflareは数百万件の攻撃試行を記録し、フィンランド、オランダ、フランスの政府系ウェブサイトが一時的にオフラインになった。財団はOpenAI、Wiz、Califと協力して問題の修正に当たっている。

脆弱性の公開前、またパッチ適用済みサイトでハッカーが悪用した証拠はないとBarron氏は述べた。

オープンソース言語で30年以上の歴史を持つPHPは、サーバーサイド言語が判明しているウェブサイトの69.3%で使用されている(W3Techs調べ)。