En anställd, fjorton konsulter
Stiftelsen som underhåller PHP har en enda heltidsanställd. “Vi har en heltidsanställd (det är jag) och 14 konsulter som mest arbetar deltid”, sade verkställande direktören Elizabeth Barron till Reuters i en mejlintervju som publicerades på fredagen. Styrelseledamöterna är obetalda volontärer, och pengarna kommer från donationer och anslag.
Det är den organisation som står bakom ett språk som enligt Reuters kan ligga till grund för upp till 70 procent av webbplatserna. Förra veckan tvingade två kritiska sårbarheter för fjärrkörning av kod i PHP operatörer över hela Europa att patcha i all hast, och sårbarheterna hittades med hjälp av AI-system som drivs av OpenAI och säkerhetsföretagen Wiz och Calif.
“Med tanke på det beroendet står det klart att PHP är oerhört underfinansierat”, sade Barron.
Dubbelt så många förslag, lika många människor
Det mer varaktiga problem Barron beskriver är inte krisen. Det är volymen. PHP-projektet får nu nästan dubbelt så många föreslagna kodändringar som för ett år sedan, sade hon, “men antalet bidragsgivare har inte fördubblats”. Att granska bidrag och felrapporter kräver, tillade hon, “en enorm mängd mänsklig insats och erfarenhet”.
Stiftelsens egen redogörelse för släppet säger samma sak inifrån. “Tillväxten av AI-assisterad forskning innebär också att PHP:s säkerhetsgrupp får långt fler rapporter än tidigare”, skrev den den 21 oktober. Gruppen har publicerat 15 CVE:er sedan den 1 juli och arbetat sig igenom mer än 100 rapporter som visade sig vara ogiltiga, dubbletter eller omöjliga att återskapa.
AI finns på båda sidor av det bokslutet. Stiftelsen säger att den arbetade med Alpha-Omega för att skanna PHP med Anthropics Claude Mythos, och att den sedan dess lagt till OpenAI:s Daybreak Red för att validera rapporter och exploits. Den uppger också att sårbarheterna som rättades förra veckan hade funnits i motorn i ungefär ett decennium.
Vad verktygen inte kan göra
Stiftelsen är tydlig med var flaskhalsen sitter. “AI hjälper gruppen att validera rapporter och gruppera rapporter med samma grundorsak, men en människa fattar varje beslut och arbetar med varje patch”, skrev den.
“Verktyg hittar nu buggar snabbare än någonsin, för både försvarare och angripare, och antalet rapporter kommer att fortsätta växa”, fortsätter inlägget. “Vad verktyg inte kan göra är att avgöra vilken rättning som är den rätta för ett sedan länge etablerat designval i motorn, väga kompatibilitetsavvägningarna och granska patchen.”
Det är inte hypotetiskt. Stiftelsen berättar att en rättning av det underliggande minnesproblemet avstannade och startade om gång på gång under månader eftersom säkerhetsgruppen inte kunde välja mellan lösningar som var och en bröt något, och kallade fördröjningen “ett strukturellt misslyckande, orsakat både av säkerhetsgruppens beslutsprocess och av dess brist på resurser”.
Vad man ska följa
Barron sade att stiftelsen inte har några belägg för att angripare utnyttjade sårbarheterna före offentliggörandet, eller på system som har patchats. “Vi fick inga ytterligare indikationer från OpenAI, Wiz eller Calif, som vi samarbetar nära med i den här frågan, om problem på patchade system”, sade hon. Cloudflare har rapporterat miljontals försök.
Stiftelsen har gjort händelsen till ett insamlingsargument och ber företag, webbhotell och regeringar att sponsra den i nivå med hur mycket de förlitar sig på den, med den tyska Sovereign Tech Agencys finansiering av PHP-revisionen 2024 som förebild. Om någon svarar är det som ska följas — den obalans Barron beskriver blir värre ju bättre verktygen blir.
