PHP Foundation, organizacja non-profit finansująca rozwój języka programowania, na którym opiera się znaczna część internetu, działa z rocznym budżetem wynoszącym około 974 tys. dolarów i z jednym pracownikiem na pełny etat — poinformowała w piątek dyrektorka zarządzająca Elizabeth Barron — gdy dwa krytyczne luki bezpieczeństwa wywołały w tym tygodniu ogólnoświatowe działania łatające.

Jedna osoba na pełny etat i 14 wykonawców

„Mamy jednego pracownika na pełny etat (to ja) i 14 głównie niepełnoetatowych wykonawców” — powiedziała Barron w wywiadzie. Rada fundacji nie otrzymuje wynagrodzenia, a pieniądze pochodzą z grantów i darowizn.

Strona fundacji na Open Collective podaje roczny budżet w wysokości 974 057,80 dolara. Od momentu powstania pod koniec 2021 roku organizacja zebrała 3,06 mln dolarów i wydała 2,70 mln, pozostawiając 356 614,52 dolara — wystarczające na około cztery miesiące wydatków. Strona pokazuje, że 1927 osób przekazało darowizny, a 340 osób posiada miesięczne zobowiązania o łącznej wartości około 9416 dolarów. Gdyby ten powtarzalny strumień utrzymał się przez pełny rok, wyniósłby około 113 tys. dolarów — około 12% budżetu — a reszta finansowania fundacji napływa poprzez większe granty i darowizny.

Barron powiedziała, że liczba proponowanych zmian w kodzie PHP niemal się podwoiła w ciągu roku, a współtwórcy nie nadążają. Każde zgłoszenie i każdy raport o błędzie nadal musi zostać przejrzany przez doświadczonych ludzi.

Sztuczna inteligencja działa w obie strony, zauważyła. AI pomogła badaczom wykryć dwie luki, które tkwiły w kodzie PHP od dekady, i przyspiesza pracę programistów ale zwiększa też obciążenie związane z recenzowaniem dla opiekunów projektu. Opisała język jako poważnie niedofinansowany, biorąc pod uwagę, jak bardzo firmy i rządy polegają na PHP.

Sponsorzy i wydatki

Automattic był największym sponsorem fundacji od grudnia 2021 roku z kwotą 762 500 dolarów, a za nim plasuje się JetBrains z 476 670 dolarów. Sovereign Tech Fund przekazał około 214 115 dolarów, a Linux Foundation 183 500 dolarów. Mniejsze kwoty pochodzą od Private Packagist, Craft CMS, Cybozu i Tideways, podczas gdy Zend by Perforce przekazał 56 000 dolarów, a GoDaddy 48 000 dolarów. Zespół Chainguard wpłacił 50 000 dolarów od 21 października, dnia wydania łatek przez PHP. Łącznie czterej najwięksi sponsorzy odpowiadają za ponad 1,6 mln dolarów — ponad połowę z zebranych do tej pory 3,06 mln dolarów.

Fundacja informuje na swojej stronie, że płaci programistom za pracę nad językiem PHP. Praca nad rdzeniem języka to największa oznaczona kategoria wydatków, obejmująca 227 płatności o łącznej wartości około 1,11 mln dolarów z 526 opłaconych wydatków.

Luki PHP2Shell wywołały miliony prób eksploatacji

PHP wydało łatki dla CVE-2026-109618 i CVE-2026-109619 21 października, obie z oceną krytyczności 9,2 na 10 — podał Cryptopolitan. Ta para luk, nazwana PHP2Shell, mogła pozwolić atakującym na wykonanie kodu bez logowania. Wiz wykazał, że luki mogą też ujawnić hasła i klucze API z pamięci. Poprawione wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35 — cztery wydania, z którymi operatorzy stron mogą porównać swoje wdrożenia.

Cloudflare zarejestrował miliony prób eksploatacji, a strony rządowe w Finlandii, Holandii i Francji na krótko przestały działać. Fundacja współpracuje z OpenAI, Wiz i Calif nad naprawieniem problemów.

Barron powiedziała, że nie ma dowodów na to, by hakerzy wykorzystali luki przed ich ujawnieniem ani na załatanych stronach.

PHP, open source'owy język liczący ponad 30 lat, jest używany na 69,3% stron, na których znany jest język po stronie serwera — według W3Techs.