De PHP Foundation heeft moeite om voldoende geld bij elkaar te brengen om een van de meest gebruikte programmeertalen voor internetapplicaties te onderhouden.
Ondanks PHP’s rol als basis van naar schatting 70% van alle websites heeft de stichting slechts een fulltime medewerker. Het groeiende gebruik van AI-gegenereerde code zorgt voor extra druk op de ontwikkelaars, meldt Reuters.
Het probleem rond de financiering kwam vorige week aan het licht na de ontdekking van twee kritieke kwetsbaarheden in de taal. De kwetsbaarheden, die ongeveer een decennium onontdekt waren gebleven, dwongen sitebeheerders wereldwijd tot het installeren van noodpatches.
De PHP Foundation is voor het uitvoeren van haar werkzaamheden afhankelijk van donaties en subsidies. Executive Director Elizabeth Barron is de enige vast aangestelde werknemer. Zij wordt ondersteund door 14 freelancers die grotendeels parttime werken.
AI zorgt voor meer werk
De opkomst van AI vergroot de druk op de beperkte middelen van de foundation. Hoewel AI ervoor zorgt dat ontwikkelaars de code sneller kunnen schrijven, zorgt het ook voor extra werk voor mensen die verantwoordelijk zijn voor het onderhoud van opensource projecten. Het aantal voorgestelde codewijzigingen dat de foundation ontvangt is afgelopen jaar bijna verdubbeld, terwijl het aantal developers dat deze wijzigingen moet beoordelen niet toenam.
Het beveiligingsprobleem van vorige week maakte de consequenties van die disbalans duidelijk. Twee kwetsbaarheden zorgden voor onzekerheid onder websitebeheerders. Een groot aantal websites werd uit de lucht gehaald tot de patches waren geïnstalleerd.
De foundation werkte bij het onderzoek naar de kwetsbaarheden en het ontwikkelen van patches samen met externe beveiligingsonderzoekers en bedrijven, waaronder OpenAI, Wiz en Calif. Ook AI-ondersteund onderzoek droeg bij aan de ontdekking van de kwetsbaarheden.
Cloudflare rapporteerde direct nadat de foundation de kwetsbaarheden bekendmaakte miljoenen pogingen van hackers om de zwakke plekken uit te buiten. De PHP Foundation vond echter geen aanwijzingen dat aanvallers de kwetsbaarheden al wisten uit te buiten voordat ze bekend werden gemaakt. Barron gaf tevens aan dat researchpartners geen aanwijzingen hadden die wezen op succesvolle aanvallen tegen systemen die gepatched waren.
Het incident bracht structurele problemen bij de PHP Foundation aan het licht. Wereldwijd zijn organisaties afhankelijk van de continue ontwikkeling en beveiliging van PHP. Er zijn echter relatief weinig krachten beschikbaar om de mensen die PHP onderhouden te ondersteunen.