Único funcionário em tempo integral da PHP Foundation enfrenta o dobro de propostas de código por US$ 974 mil ao ano

A Fundação PHP opera com cerca de US$ 974.000 por ano, com um funcionário integral cuidando da linguagem por trás da maior parte da web.

Duas falhas críticas no PHP desencadearam uma corrida global por correções esta semana.

Um profissional integral e 14 contratados mantêm a linguagem funcionando

“Temos um funcionário em tempo integral (que sou eu) e 14 contratados, na maioria em meio período”, disse a diretora executiva Elizabeth Barron sexta-feira em uma entrevista. O conselho da fundação é não remunerado, e o dinheiro vem de subsídios e doações.

A página do Open Collective da fundação mostra seu orçamento anual como US$ 974.057,80. A fundação arrecadou US$ 3,06 milhões desde seu lançamento no final de 2021, gastando US$ 2,70 milhões.

Com esse orçamento, os US$ 356.614,52 restantes cobrirão despesas por quatro meses. O relatório indica que 1.927 pessoas doaram e que 340 pessoas fizeram compromissos mensais no valor total de aproximadamente US$ 9.416.

Barron afirmou que, em um ano, as alterações propostas no código PHP quase duplicaram, e os contribuidores não acompanharam o ritmo. Cada submissão e relatório de bug ainda precisa ser analisado por pessoas reais com experiência.

A IA ajudou pesquisadores a detectar as duas falhas que estavam presentes no código PHP há uma década, e também torna os programadores mais rápidos, disse Barron.

A IA também aumenta a carga de revisão para os mantenedores. Ela classificou a linguagem de programação como mal financiada, dada a dependência de empresas e governos em relação ao PHP.

Barron não viu sinais de que hackers tenham acessado sites corrigidos

Desde dezembro de 2021, a Automattic é a maior apoiadora, com US$ 762.500. A JetBrains contribui com US$ 476.670.

O Sovereign Tech Fund está em ~US$ 214.115. A Linux Foundation está em US$ 183.500.

Valores menores são fornecidos pela Private Packagist, Craft CMS, Cybozu e Tideways. A Zend by Perforce doou US$ 56.000 e a GoDaddy, US$ 48.000.

A equipe da Chainguard contribuiu com US$ 50.000 desde 21 de outubro, dia em que o PHP lançou seus patches.

A fundação afirma na página que paga desenvolvedores para trabalhar na linguagem PHP.

A categoria de despesas mais bem classificada é o trabalho dos desenvolvedores principais. Foram realizados 227 pagamentos totalizando ~US$ 1,11 milhão entre as 526 despesas pagas.

A PHP emitiu correções para CVE-2026-109618 e CVE-2026-109619 em 21 de outubro, ambas com classificação de gravidade de 9,2 em 10, conforme relatou o Cryptopolitan. O par, apelidado de PHP2Shell, poderia permitir que invasores executassem código sem fazer login.

A Wiz mostrou que as falhas também podem vazar senhas e chaves de API da memória. As versões corrigidas são PHP 8.5.12, 8.4.27, 8.3.36 e 8.2.35.

A Cloudflare registrou milhões de tentativas de exploração de vulnerabilidades, e os sites governamentais da Finlândia, dos Países Baixos e da França ficaram temporariamente fora do ar. A fundação trabalha com a OpenAI, Wiz e Calif para resolver o problema.

Barron afirmou que não há evidências de que os hackers tenham explorado as falhas antes de sua divulgação ou em sites já corrigidos.

Esta linguagem de código aberto, com mais de 30 anos, é utilizada em 69,3% dos sites onde a linguagem do lado do servidor é conhecida.

Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.