Un empleado, catorce colaboradores
La fundación que mantiene PHP tiene un único empleado a tiempo completo. “Tenemos un miembro del personal a tiempo completo (soy yo) y 14 colaboradores, en su mayoría a tiempo parcial”, declaró la directora ejecutiva Elizabeth Barron a Reuters en una entrevista por correo electrónico publicada el viernes. Los miembros del consejo son voluntarios no remunerados, y el dinero procede de donaciones y subvenciones.
Esa es la organización que respalda un lenguaje que, según Reuters, puede sustentar hasta el 70% de los sitios web. La semana pasada, dos fallos críticos de ejecución remota de código en PHP obligaron a operadores de toda Europa a parchear a toda prisa, y los fallos se encontraron con ayuda de sistemas de IA de OpenAI y de las empresas de seguridad Wiz y Calif.
“Dada esa dependencia, está claro que PHP está increíblemente infrafinanciado”, dijo Barron.
El doble de propuestas, las mismas personas
El problema más duradero que describe Barron no es la emergencia, sino el volumen. El proyecto PHP recibe ahora casi el doble de propuestas de cambios de código que hace un año, afirmó, “y sin embargo el número de colaboradores no se ha duplicado”. Revisar contribuciones e informes de errores, añadió, requiere “una cantidad enorme de aportación y experiencia humanas”.
El propio relato de la fundación sobre la publicación dice lo mismo desde dentro. “El crecimiento de la investigación asistida por IA también significa que el equipo de seguridad de PHP recibe muchos más informes que antes”, escribió el 21 de octubre. El equipo ha publicado 15 CVE desde el 1 de julio y ha tramitado más de 100 informes que resultaron ser inválidos, duplicados o no reproducibles.
La IA está en ambos lados de esa cuenta. La fundación dice que trabajó con Alpha-Omega para escanear PHP con Claude Mythos de Anthropic, y que desde entonces ha añadido Daybreak Red de OpenAI para validar informes y exploits. También señala que los fallos corregidos la semana pasada llevaban alrededor de una década en el motor.
Lo que las herramientas no pueden hacer
La fundación es explícita sobre dónde está el cuello de botella. “La IA ayuda al equipo a validar informes y a agrupar los que comparten la misma causa raíz, pero una persona toma cada decisión y trabaja en cada parche”, escribió.
“Las herramientas encuentran ahora errores más rápido que nunca, tanto para los defensores como para los atacantes, y el número de informes seguirá creciendo”, continúa el texto. “Lo que las herramientas no pueden hacer es decidir cuál es la corrección adecuada para una decisión de diseño de larga data en el motor, sopesar las concesiones de compatibilidad y revisar el parche.”
No es una hipótesis. La fundación cuenta que la corrección del problema de memoria subyacente se detuvo y se reanudó repetidamente durante meses porque el equipo de seguridad no lograba elegir entre enfoques que rompían algo en cada caso, y calificó el retraso de “fallo estructural, causado tanto por el proceso de decisión del equipo de seguridad como por su falta de recursos”.
Qué vigilar
Barron dijo que la fundación no tiene constancia de que los atacantes explotaran los fallos antes de su divulgación, ni en sistemas ya parcheados. “No recibimos ninguna otra indicación de OpenAI, Wiz o Calif, con quienes trabajamos estrechamente en este asunto, sobre problemas en sistemas parcheados”, afirmó. Cloudflare ha informado de millones de intentos.
La fundación ha convertido el episodio en un argumento para recaudar fondos, y pide a empresas, proveedores de alojamiento y gobiernos que la patrocinen en proporción a su dependencia, señalando como modelo la financiación de la auditoría de PHP de 2024 por la Agencia Tecnológica Soberana alemana. Si alguno responde es lo que hay que vigilar: la asimetría que describe Barron empeora a medida que mejoran las herramientas.
