De PHP Foundation, de non-profit die de ontwikkeling financiert van de programmeertaal achter een groot deel van het web, draait op een jaarbudget van ongeveer $974.000 en een salarislijst van één fulltime medewerker, zei algemeen directeur Elizabeth Barron vrijdag, terwijl twee kritieke beveiligingskwetsbaarheden deze week een wereldwijde patchactie op gang brachten.

Eén fulltimer en 14 aannemers

“We have one full-time staff member (that's me) and 14 mostly part-time contractors”, zei Barron in een interview. Het bestuur van de foundation is onbetaald en het geld komt van subsidies en donaties.

De Open Collective-pagina van de foundation vermeldt het jaarbudget als $974.057,80. Sinds de oprichting eind 2021 heeft de organisatie $3,06 miljoen opgehaald en $2,70 miljoen uitgegeven, met $356.614,52 over — genoeg voor ongeveer vier maanden uitgaven. De pagina toont dat 1.927 mensen hebben gedoneerd en dat 340 mensen maandelijkse toezeggingen hebben met een totale waarde van ongeveer $9.416. Als die terugkerende stroom een vol jaar aanhoudt, komt dat neer op ongeveer $113.000 — ruwweg 12 procent van het budget — terwijl de rest van de financiering via grotere subsidies en donaties binnenkomt.

Barron zei dat de voorgestelde wijzigingen in PHP-code zich in een jaar bijna hebben verdubbeld en dat bijdragers die groei niet hebben bijgehouden. Elke inzending en bugrapport moet nog steeds door ervaren mensen worden beoordeeld.

Kunstmatige intelligentie werkt in beide richtingen, merkte ze op. AI hielp onderzoekers de twee kwetsbaarheden te vinden, die al tien jaar in de PHP-code zaten, en het maakt programmeurs sneller — maar het vergroot ook de beoordelingslast voor maintainers. Ze noemde de taal slecht gefinancierd gezien hoeveel bedrijven en overheden van PHP afhankelijk.

Financiers en uitgaven

Automattic is sinds december 2021 de grootste financier met $762.500, gevolgd door JetBrains met $476.670. Het Sovereign Tech Fund heeft ongeveer $214.115 bijgedragen en de Linux Foundation $183.500. Kleinere bedragen komen van Private Packagist, Craft CMS, Cybozu en Tideways, terwijl Zend by Perforce $56.000 heeft gegeven en GoDaddy $48.000. Het Chainguard Team heeft sinds 21 oktober, de dag dat PHP de patches uitbracht, $50.000 bijgedragen. Samen staan de vier grootste financiers in voor meer dan $1,6 miljoen — ruim de helft van de tot nu toe opgehaalde $3,06 miljoen.

De foundation meldt op haar pagina dat ze ontwikkelaars betaalt om aan de PHP-taal te werken. Kernontwikkelaarswerk is de grootste uitgavencategorie, goed voor 227 betalingen met een totaal van ongeveer $1,11 miljoen van 526 betaalde uitgaven.

PHP2Shell-kwetsbaarheden leidden tot miljoenen exploitpogingen

PHP bracht op 21 oktober patches uit voor CVE-2026-109618 en CVE-2026-109619, beide met een ernstbeoordeling van 9,2 op 10, meldde Cryptopolitan. Het duo, PHP2Shell genoemd, kan aanvallers in staat stellen code uit te voeren zonder in te loggen. Wiz toonde aan dat de kwetsbaarheden ook wachtwoorden en API-sleutels uit het geheugen kunnen lekken. De gecorrigeerde versies zijn PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 — de vier releases waartegen sitebeheerders hun implementaties kunnen controleren.

Cloudflare registreerde miljoenen exploitpogingen, en overheidswebsites in Finland, Nederland en Frankrijk waren tijdelijk offline. De foundation werkt samen met OpenAI, Wiz en Calif om de problemen op te lossen.

Barron zei dat er geen bewijs is dat hackers de kwetsbaarheden vóór de openbaarmaking of op gepatchte sites hebben misbruikt.

PHP, een open-sourcetaal van ruim 30 jaar oud, wordt gebruikt op 69,3% van de websites waar de servertaal bekend is, volgens W3Techs.