PHP використовують майже 70% сайтів, але у фонді, який підтримує розвиток мови програмування, працює лише одна людина на повну ставку та 14 частково зайнятих підрядників. Після нещодавнього виявлення двох критичних вразливостей знову постало питання, чи вистачає розробникам ресурсів для захисту цієї частини інтернету.
PHP використовують майже 70% сайтів, але у фонді, який підтримує розвиток мови програмування, працює лише одна людина на повну ставку та 14 частково зайнятих підрядників. Після нещодавнього виявлення двох критичних вразливостей знову постало питання, чи вистачає розробникам ресурсів для захисту цієї частини інтернету.
Про нестачу фінансування директорка PHP Foundation Елізабет Баррон розповіла Reuters. За її словами, фонд існує завдяки пожертвам і грантам, а члени правління працюють без зарплати.
За її словами, навантаження на команду лише зростає. Завдяки інструментам ШІ знаходити потенційні вразливості стало простіше, тож повідомлень про проблеми надходить дедалі більше. Але перевіряти їх і готувати виправлення доводиться тій самій невеликій команді.
Наскільки складною може бути ця робота, показала історія з PHP2Shell. Раніше dev.ua писав, що хакери почали атакувати критичні вразливості ще за чотири дні до виходу офіційних патчів. А проблему з пам’яттю, яка зрештою призвела до появи цих вразливостей, розробники помітили ще у 2024-му році.
Однак усунути її виявилося непросто, адже розробники мали знайти рішення, яке не зламає роботу сайтів і застосунків, а також врахувати численні сторонні розширення PHP. Через це робота над виправленням неодноразово зупинялася й відновлювалася. У PHP Foundation визнали, що затримка була пов’язана також із нестачею ресурсів і труднощами в організації роботи.
Але навіть своєчасні оновлення не гарантують безпеки сайтів. Адже є ще одна проблема — власники ресурсів, які роками користуються застарілими версіями PHP.
За даними W3Techs, близько 27% сайтів на PHP досі використовують сьому версію мови, підтримка якої завершилася у 2022-му році. Ще приблизно 8% працюють на PHP 5. Ця версія з’явилася понад 20 років тому, а останні офіційні оновлення безпеки для неї вийшли ще у 2018-му.
Власники сайтів на актуальних версіях PHP можуть встановити випущені виправлення. А тим, хто досі користується старими версіями, доводиться переходити на новіші чи шукати альтернативні способи захисту.
Як зазначає Tom’s Hardware, перехід на нову версію іноді потребує змін у коді сайту. Проте інструменти, які допомагають автоматизувати цей процес, існують уже багато років.
Раніше dev.ua писав, що після виявлення критичних вразливостей у PHP розробники Node.js також випустили термінові патчі для 10 вразливостей. Найнебезпечніша з них дозволяє зловмисникам віддалено запускати шкідливий код на серверах.
