Resumen:
El mantenimiento del lenguaje de programación de código abierto PHP se enfrenta a una gran presión de recursos. Aunque PHP se ha desarrollado durante unos 30 años y respalda el funcionamiento de una gran cantidad de sitios web en todo el mundo, la Fundación PHP, una organización sin fines de lucro responsable de apoyar el desarrollo de este lenguaje, no ha recibido fondos suficientes durante mucho tiempo. Elizabeth Barron, directora ejecutiva de la fundación, reveló recientemente que la organización actualmente tiene solo un empleado de tiempo completo, y el resto de su trabajo lo mantienen principalmente contratistas a tiempo parcial, donaciones y subvenciones.
Barron dijo en una entrevista con Reuters que la fundación actualmente tiene sólo un miembro del personal a tiempo completo, y hay otros 14 contratistas que trabajan principalmente a tiempo parcial. Todos los miembros del consejo directivo de la fundación desempeñan sus funciones como voluntarios y no reciben remuneración. Los fondos operativos de la organización provienen principalmente de donaciones corporativas e individuales, así como de diversos proyectos de financiación.
PHP es uno de los lenguajes de programación más utilizados en la infraestructura de Internet. Según estimaciones relevantes, hasta el 70% de los sitios web del mundo pueden utilizar PHP en diversos grados. Este lenguaje se utiliza ampliamente en el backend de sitios web, sistemas de gestión de contenidos, plataformas de comercio electrónico y diversos servicios de red. Por lo tanto, su seguridad y estabilidad no sólo están relacionadas con los desarrolladores, sino que también afectan a las empresas, agencias gubernamentales y usuarios comunes de Internet.
Dos recientes violaciones graves de seguridad han resaltado aún más la importancia práctica del mantenimiento de PHP. Esta semana, los investigadores descubrieron dos vulnerabilidades críticas, lo que llevó a los operadores de sitios web de toda Europa a comprobar urgentemente sus sistemas e instalar parches de seguridad. Algunos sitios web gubernamentales estuvieron temporalmente fuera de línea para que los operadores pudieran tomar medidas de protección hasta que el riesgo estuviera bajo control.
La Fundación PHP está trabajando con investigadores externos y varias empresas, incluidas OpenAI y las empresas de ciberseguridad Wiz y Calif, para investigar estas vulnerabilidades y coordinar soluciones. El parche correspondiente se lanzó esta semana. La empresa de ciberseguridad Cloudflare informó que los incidentes relacionados desencadenaron millones de intentos de piratería. Sin embargo, Barron dijo que la fundación actualmente no tiene evidencia de que los atacantes hayan explotado con éxito estas fallas antes de que fueran reveladas públicamente, y no ha recibido más informes de socios relevantes de que los sistemas que han sido parcheados hayan sido explotados.
Vale la pena señalar que estas vulnerabilidades existen desde hace unos diez años y se descubrieron recientemente. La tecnología de inteligencia artificial desempeña un doble papel en este proceso: por un lado, ayuda a los investigadores a identificar posibles problemas de seguridad y mejora la eficiencia del trabajo de los programadores; Por otro lado, las herramientas de inteligencia artificial también reducen el umbral para enviar modificaciones de código, lo que hace que los equipos de mantenimiento tengan que manejar más cambios de código e informes de errores.
Barron dijo que el proyecto PHP actualmente recibe casi el doble de propuestas de modificación de código que hace un año, pero el número de contribuyentes no se ha duplicado simultáneamente. Esto significa que los mantenedores deben dedicar más tiempo a revisar el código, analizar informes de problemas y juzgar si los cambios enviados introducirán nuevas vulnerabilidades o romperán la funcionalidad existente. Aunque la IA puede ayudar con la programación, la revisión del código aún requiere una importante aportación humana y experiencia profesional y no se puede lograr únicamente con herramientas automatizadas.
Para proyectos de código abierto, el hecho de que el público pueda ver el código no significa que su mantenimiento pueda ser completado en su totalidad por voluntarios. Especialmente en el caso de software básico como PHP, que se utiliza en un gran número de sistemas comerciales y servicios públicos, un fallo aparentemente pequeño puede afectar a un gran número de sitios web. El equipo de mantenimiento no sólo necesita mejorar continuamente el lenguaje en sí, sino que también debe lidiar con agujeros de seguridad, problemas de compatibilidad, informes de errores y cambios enviados por los desarrolladores.
El dilema que enfrenta la Fundación PHP también refleja un problema a largo plazo en el ecosistema del software de código abierto: el alcance de uso del software no siempre coincide con los recursos disponibles para los mantenedores. Las empresas y las agencias gubernamentales pueden construir y operar importantes sistemas comerciales a través de PHP, pero el mantenimiento del lenguaje subyacente puede depender de equipos limitados y fuentes inestables de donaciones y financiamiento. Una vez que los problemas de seguridad ocurren de manera intensiva, la mano de obra limitada puede verse sometida a una enorme presión laboral.
Barron cree que considerando el uso generalizado de PHP en sistemas corporativos y gubernamentales, los recursos que recibe actualmente la fundación son obviamente insuficientes. A medida que las herramientas de inteligencia artificial continúan impulsando el número de envíos de código, cómo ampliar las fuentes de financiamiento, agregar personal de mantenimiento profesional y garantizar que los problemas de seguridad puedan manejarse de manera oportuna se convertirán en problemas importantes que el ecosistema PHP debe enfrentar.
Este incidente también recordó una vez más a la industria que el software de código abierto no está exento de costos. Los usuarios pueden obtener y utilizar el software de forma gratuita, pero el mantenimiento de seguridad a largo plazo, la corrección de errores y las actualizaciones de versiones del software aún requieren una inversión continua de fondos y mano de obra profesional. Para los lenguajes de programación básicos que admiten una gran cantidad de servicios de Internet, establecer un mecanismo de mantenimiento que coincida con su influencia real no es solo un problema dentro de la comunidad de desarrolladores, sino también relacionado con la seguridad y confiabilidad de toda la infraestructura de Internet.
Artículos relacionados:
Las vulnerabilidades fatales de PHP están proliferando, el 70% de los sitios web del mundo están amenazados y muchas empresas han quedado “desconectadas” de la noche a la mañana
La crisis de vulnerabilidad de PHP entra en su segundo día: los ataques de piratas informáticos se multiplican por un millón. Los servicios gubernamentales en muchos países siguen interrumpidos
PHP Foundation revela nuevas vulnerabilidades que aún no se han solucionado y proporciona soluciones de mitigación, pero no lanzará nuevas versiones para solucionarlas por el momento
Comentarios