Руководитель фонда PHP (PHP Foundation) и исполнительный директор проекта Элизабет Бэррон (Elizabeth Barron) сообщила о нехватке финансирования проекта и рассказала, что является единственным штатным сотрудников фонда, и остальные члены правления фонда работают на волонтерской основе.
Бэррон напомнила, что приблизительно 70% сайтов по всему миру используют PHP, что подчеркивает его значимость для интернета. Фонд PHP испытывает финансовые трудности, так как финансирование поступает от пожертвований и грантов. Фонд PHP сотрудничает с OpenAI и другими компаниями для выявления уязвимостей и разработки патчей.
В Cloudflare зафиксировали попытки атак после выявления уязвимостей PHP2Shell, но нет никаких доказательств того, что хакерам удалось воспользоваться этими уязвимостями до того, как информация о них была обнародована. Тем не менее, этот инцидент наглядно демонстрирует, насколько критически важным остается PHP — язык программирования, существующий уже три десятилетия.
«При этом некоммерческий фонд, поддерживающий PHP — язык, на котором, возможно, работают до 70% всех сайтов в мире, — функционирует в условиях крайне ограниченного бюджета. У нас всего один штатный сотрудник (это я) и 14 привлеченных специалистов, работающих преимущественно неполный день. Члены правления фонда — это волонтеры, работающие на безвозмездной основе, а финансирование осуществляется за счет пожертвований и грантов. Фонд сотрудничает с независимыми исследователями и компаниями — в том числе с OpenAI и фирмами в сфере кибербезопасности Wiz и Calif, чтобы выявлять уязвимости и координировать выпуск исправлений. От наших партнеров — OpenAI, Wiz и Calif, с которыми мы тесно взаимодействуем по этому вопросу, — не поступало сообщений о каких-либо проблемах в системах, где были установлены исправления», — сообщила Бэррон.
Бэррон отметила, что сотрудничество с OpenAI и другими организациями не привело к сбоям в системах после установки патчей для PHP. Искусственный интеллект помогает находить уязвимости, но также увеличивает нагрузку на разработчиков и поддерживающий персонал. Количество предложений по изменению кода в проекте PHP почти удвоилось за последний год, но число участников не возросло пропорционально. Бэррон подчеркнула, что зависимость бизнеса для PHP требует увеличения финансирования для поддержки проекта.
«Учитывая эту зависимость, становится очевидно, что PHP катастрофически недофинансирован. Сейчас в проект PHP поступает почти вдвое больше предложений по изменению кода, чем год назад. Число участников разработки не удвоилось», а проверка предлагаемых изменений и сообщений об ошибках требует «огромных затрат человеческого труда и глубокого профессионального опыта, — рассказала Бэррон.
Также представители фонда заявили СМИ о намерении увеличить число квалифицированных инженеров в проекте и «обеспечить команду по безопасности необходимыми ресурсами». Достичь этой цели в фонде планируют при дополнительной при финансовой поддержке тех, кто зависит от PHP.
Ранее в команде PHP Foundation представили технический отчёт о проблемах, возникших в процессе устранения исправленных ранее двух критических уязвимостей PHP2Shell в PHP (CVE-2026-109618 и CVE-2026-109619), которые потенциально могли привести к несанкционированному RCE.
Команда безопасности PHP выпустила корректирующие выпуски PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток PHP 7.4, PHP 8.0 и PHP 8.1, в которых исправлены критические уязвимости. В команде PHP призвали администраторов установить обновления. Заявлено, что полное блокирование уязвимостей возможно только через установку обновления.
Также в команде проекта PHP сообщили об обнаружении уязвимости CVE-2026-115560, которая потенциально может использоваться для удалённого выполнения кода на сервере при определённом редком сочетании нестандартных настроек (не работает в конфигурации по умолчанию) и выполняемого PHP-кода. Подробности об уязвимости разработчики планируют опубликовать после готовности очередных корректирующих выпусков PHP.
Источник: habr.com