Фонд PHP — некоммерческая организация, финансирующая разработку языка программирования, на котором держится значительная часть интернета, — работает с годовым бюджетом около 974 тысяч долларов и штатом из одного штатного сотрудника, сообщила в пятницу исполнительный директор Элизабет Баррон. Это произошло на фоне того, как две критические уязвимости безопасности спровоцировали на этой неделе общемировую кампанию по установке патчей.

Один штатный сотрудник и 14 подрядчиков

«У нас есть один штатный сотрудник (это я) и 14 в основном работающих на неполной ставке подрядчиков», — сказала Баррон в интервью. Совет фонда работает безвозмездно, а деньги поступают из грантов и пожертвований.

На странице фонда Open Collective указан годовой бюджет в размере $974 057,80. С момента запуска в конце 2021 года организация собрала $3,06 млн и потратила $2,70 млн, оставив $356 614,52 — этого хватит примерно на четыре месяца расходов. На странице указано, что пожертвования внесли 1927 человек, а 340 человек имеют ежемесячные подписки на общую сумму около $9416. При сохранении на протяжении года этот регулярный поток составил бы около $113 тысяч — примерно 12% бюджета, — а остальное финансирование фонда поступает в виде более крупных грантов и пожертвований.

По словам Баррон, за год количество предложений по изменениям кода PHP почти удвоилось, а контрибьюторы не успевают за этим ростом. Каждое предложение и каждый отчет об ошибке по-прежнему должен проверяться опытными людьми.

Искусственный интеллект, как она отметила, работает в обе стороны. ИИ помог исследователям обнаружить две уязвимости, которые находились в коде PHP целое десятилетие, и ускоряет работу программистов, — но при этом увеличивает нагрузку на сопровождающих по проверке кода. Она назвала язык остро недофинансированным с учетом того, насколько сильно на PHP полагаются компании и государства.

Спонсоры и расходы

Automattic была крупнейшим спонсором фонда с декабря 2021 года, вложив $762 500, за ней следует JetBrains с $476 670. Sovereign Tech Fund предоставил около $214 115, а Linux Foundation — $183 500. Меньшие суммы внесли Private Packagist, Craft CMS, Cybozu и Tideways, при этом Zend by Perforce пожертвовал $56 000, а GoDaddy — $48 000. Команда Chainguard с 21 октября — дня выхода патчей PHP — внесла $50 000. В сумме четыре крупнейших спонсора обеспечили более $1,6 млн — свыше половины собранных на сегодняшний день $3,06 млн.

На своей странице фонд сообщает, платит разработчикам за работу над языком PHP. Крупнейшая категория расходов — работа над ядром: 227 платежей на общую сумму около $1,11 млн из 526 оплаченных расходов.

Уязвимости PHP2Shell спровоцировали миллионы попыток эксплойта

PHP выпустил патчи для CVE-2026-109618 и CVE-2026-109619 21 октября, обе уязвимости получили оценку severity 9,2 из 10, сообщила Cryptopolitan. Эта пара, получившая название PHP2Shell, могла позволить злоумышленникам выполнять код без авторизации. Wiz показал, что уязвимости также могут привести к утечке паролей и API-ключей из памяти. Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — четыре релиза, с которыми операторам сайтов следует сверить свои развертывания.

Cloudflare зафиксировал миллионы попыток эксплуатации, а правительственные сайты Финляндии, Нидерландов и Франции временно вышли из строя. Фонд работает над устранением проблем совместно с OpenAI, Wiz и Calif.

Баррон сообщила, что нет свидетельств того, что хакеры эксплуатировали уязвимости до их раскрытия или на пропатченных сайтах.

PHP — открытый язык, которому более 30 лет, — используется на 69,3% сайтов, для которых известен серверный язык, по данным W3Techs.