Исполнительный директор PHP Foundation Элизабет Бэррон открыто рассказала о денежных проблемах фонда. Она сама остаётся единственным штатным сотрудником, ещё 14 специалистов привлечены в основном на неполный день, а правление работает бесплатно.
При этом на PHP, по её оценке, может работать до 70% сайтов в мире. Деньги фонд получает только из пожертвований и грантов, и этого уже не хватает на растущий объём работы.
Нагрузка растёт быстрее числа участников
За последний год число предложений по изменению кода в PHP выросло почти вдвое, а количество участников осталось прежним. Каждую правку и каждый отчёт об ошибке нужно проверить вручную, и на это уходит много времени опытных инженеров. Отчасти поток подстегнули ИИ-инструменты: они помогают находить уязвимости, но и создают больше работы для тех, кто разбирает находки.
Связь с PHP2Shell
Заявление прозвучало после истории с критическими уязвимостями PHP2Shell (CVE-2026-109618 и CVE-2026-109619), которые могли дать удалённое выполнение кода. Для их поиска и исправления фонд работал с OpenAI и компаниями Wiz и Calif. Вышли выпуски 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для неподдерживаемых веток 7.4, 8.0 и 8.1. Ещё одна уязвимость, CVE-2026-115560, срабатывает только при редких нестандартных настройках, подробности обещаны после следующих релизов.
Что планирует фонд
PHP Foundation хочет нанять больше квалифицированных инженеров и выделить ресурсы группе безопасности. Рассчитывать здесь приходится на компании, чей бизнес зависит от PHP: по словам Бэррон, при такой зависимости язык катастрофически недофинансирован.
Комментарий
Для владельцев сайтов на WordPress, Laravel и других PHP-решениях практический вывод простой: обновления безопасности стоит ставить сразу после выхода, а старые ветки вроде 7.4 и 8.0 пора планомерно переводить на актуальные версии. Патчи для устаревших веток сейчас скорее исключение, чем правило, и при нехватке людей на них лучше не рассчитывать.
Источник: Хабр.