La Fundación PHP, encargada de impulsar el desarrollo y la seguridad de uno de los lenguajes más utilizados en Internet, enfrenta una marcada escasez de recursos. Su directora ejecutiva, Elizabeth Barron, explicó que ella es la única empleada a tiempo completo de la organización, una situación que quedó bajo mayor escrutinio tras la corrección de dos vulnerabilidades graves esta semana.
En declaraciones recogidas por Reuters, Barron detalló que la fundación cuenta además con 14 contratistas, en su mayoría a tiempo parcial. La junta directiva trabaja de forma voluntaria, mientras que las operaciones dependen de donaciones y subvenciones. El contraste resulta llamativo porque PHP puede estar presente en hasta el 70% de los sitios web, según la estimación citada en la información.
Una infraestructura masiva con un equipo reducido
La atención sobre el financiamiento llegó después de que el proyecto publicara parches para dos fallas críticas. Bajo determinadas condiciones, ambas podían permitir la ejecución de código a distancia sin autenticación, por lo que los responsables de sitios y servidores recibieron la recomendación de actualizar sus instalaciones. La fundación identificó las versiones corregidas como PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35.
La investigación y la coordinación de las correcciones involucraron a desarrolladores del proyecto y colaboradores externos, entre ellos OpenAI y las firmas de seguridad Wiz y Calif. Esa respuesta mostró la importancia de una red de especialistas, pero también la presión que recae sobre un grupo pequeño cuando aparece un problema que afecta a tantos servicios digitales.
Intentos de ataque y límites de la evidencia
Cloudflare informó sobre millones de intentos de ataque relacionados con las fallas. Barron aclaró, sin embargo, que la fundación no tenía pruebas de explotación exitosa antes de que se hicieran públicas ni en sistemas que ya habían instalado los parches. La existencia de intentos no equivale, por sí sola, a confirmar que un atacante haya comprometido los servidores actualizados.
El caso ilustra por qué la seguridad del software abierto no termina con la publicación de una actualización. También requiere revisar reportes, probar que las soluciones no introduzcan otros problemas y coordinar su distribución. Cuando el código está integrado en sitios de empresas, medios y organismos públicos, cada demora puede ampliar la exposición de quienes aún no actualizan.
La IA acelera hallazgos y multiplica la carga de revisión
La inteligencia artificial contribuyó a detectar problemas que llevaban años en el código, pero su avance también aumentó la cantidad de material que deben evaluar los mantenedores. De acuerdo con Barron, el proyecto recibe casi el doble de propuestas de cambios que hace un año, mientras que el número de personas que contribuyen no creció al mismo ritmo.
Las herramientas pueden ayudar a encontrar errores y organizar reportes, aunque determinar si una vulnerabilidad es real, diseñar una solución y revisar sus efectos sigue exigiendo experiencia humana. La propia fundación reconoció que una de las fallas tardó en resolverse por dificultades técnicas y por la falta de suficientes especialistas con conocimiento profundo del motor de PHP.
La advertencia de Barron apunta así a una brecha estructural: gran parte de la web se beneficia de un proyecto abierto cuyo mantenimiento necesita financiación estable. Para quienes administran sitios, la medida inmediata es aplicar las versiones corregidas; para las organizaciones que dependen de PHP, el debate de fondo es cómo sostener el trabajo que mantiene seguro ese componente.
