Критична вразливість у PHP оголила недофінансування open‑source
У спільноті PHP обговорюють критичну вразливість із віддаленим виконанням коду та хронічну нестачу ресурсів на підтримку мови, яка працює на більшості сайтів світу.
PHP опинилася в центрі уваги через критичну вразливість із віддаленим виконанням коду, а разом із нею — питання про брак фінансування ключових проєктів із відкритим кодом.
Що сталося
За даними Tom's Hardware, останній рік приніс хвилю повідомлень про вразливості, підсилену інструментами зі штучним інтелектом. Це підсвітило слабкі місця інфраструктури open‑source, включно з PHP — мовою, що живить орієнтовно 71% вебсайтів.
Мінімальні ресурси у PHP Foundation
PHP Foundation, яка розвиває та курує мову, фактично працює у надзвичайно стислих кадрових межах. Як розповіла виконавча директорка фонду Elizabeth Barron в інтерв’ю Reuters, вона є єдиною працівницею на повній ставці та співпрацює з підрядниками. Загалом, за повідомленнями, у фонду лише одна повна ставка і 14 «здебільшого частково зайнятих» підрядників.
Команда відповідає за розробку й підтримку ядра PHP, включно з виправленнями безпеки. На тлі критичної вразливості це знову підняло дискусію про сталі моделі фінансування таких фундаментальних компонентів мережі.
Проблема глибша за нестачу рук
На думку оглядачів, корінь проблеми не зводиться лише до браку людей і грошей. Ситуацію ускладнюють «ледачі» практики розробки та адміністрування систем в інтернеті — коли критичні оновлення відкладаються, а базова гігієна безпеки ігнорується, навіть коли виправлення вже готові.
Як влаштована розробка PHP
Ядро PHP приймає внески з усього світу — схоже на модель ядра Linux. Втім, на відміну від Linux, де працює багато штатних учасників і розробників, працевлаштованих компаніями, екосистема PHP значно менш укомплектована кадрами.
Сукупність факторів — вибух звітів про вразливості, малий штат і недофінансування — створює ризики для екосистеми, від якої залежить більшість вебу. Обговорення всередині спільноти зосереджене на тому, як зробити підтримку безпеки більш передбачуваною і забезпечити стабільне фінансування критичних проєктів відкритого коду.
