PHP Foundation має лише одного штатного працівника: причини затримки виправлень вразливостей

PHP є основою майже 70% веб-сайтів, проте PHP Foundation має лише одну штатну працівницю та 14 часткових підрядників. Нещодавно виявлені критичні вразливості знову підняли питання про недостатність ресурсів для захисту цієї важливої частини інтернету.

Фінансування та навантаження

Директорка PHP Foundation Елізабет Баррон зазначила в інтерв'ю Reuters, що фонд функціонує завдяки пожертвам і грантам, а члени правління працюють безкоштовно. Вона підкреслила, що навантаження на команду зростає, оскільки завдяки ШІ стало простіше виявляти вразливості, але перевіряти їх і виправляти доводиться невеликій команді.

Складнощі з виправленнями

Прикладом складності роботи є ситуація з PHP2Shell, коли хакери почали атаки на вразливості за чотири дні до виходу патчів. Проблему з пам’яттю, що призвела до вразливостей, виявили ще у 2024 році, але усунення виявилося непростим через необхідність зберегти функціональність сайтів і врахувати сторонні розширення.

Стан старих версій PHP

Навіть своєчасні оновлення не гарантують безпеки, оскільки близько 27% сайтів досі використовують PHP 7, підтримка якого закінчилася у 2022 році, а 8% працюють на PHP 5, останні оновлення для якого були у 2018 році. Власники сайтів на нових версіях можуть встановлювати патчі, тоді як тим, хто використовує старі версії, потрібно переходити на нові або шукати альтернативні рішення.

Перехід на нову версію може вимагати змін у коді, проте існують інструменти для автоматизації цього процесу. Також варто зазначити, що після виявлення вразливостей у PHP, розробники Node.js випустили термінові патчі для 10 вразливостей, зокрема однієї, що дозволяє віддалено запускати шкідливий код.

Джерело: dev.ua (https://dev.ua/news/php-nema-hroshei-1793016315)