PHP Foundation vận hành với ngân sách khoảng 974.000 USD mỗi năm và chỉ một nhân viên toàn thời gian, trong khi hai lỗ hổng nghiêm trọng của PHP vừa khiến nhiều đơn vị trên thế giới khẩn trương vá hệ thống.
PHP được sử dụng trên 69,3% số website xác định được ngôn ngữ phía máy chủ. Áp lực xử lý lỗi bảo mật và rà soát mã đang gia tăng, trong khi nguồn lực duy trì ngôn ngữ này vẫn phụ thuộc vào tài trợ và đóng góp.
- PHP Foundation có một nhân viên toàn thời gian và 14 nhà thầu, phần lớn làm bán thời gian.
- Khoản tiền còn lại khoảng 356.615 USD đủ trang trải chi phí trong bốn tháng.
- Hai lỗ hổng PHP2Shell có điểm nghiêm trọng 9,2/10; các phiên bản vá đã được phát hành ngày 21/10.
PHP Foundation có bao nhiêu nguồn lực duy trì PHP?
PHP Foundation có một nhân viên toàn thời gian, 14 nhà thầu chủ yếu làm bán thời gian và ban quản trị không nhận thù lao. Ngân sách hằng năm của tổ chức đến từ các khoản tài trợ và quyên góp.
Giám đốc điều hành Elizabeth Barron cho biết trong cuộc phỏng vấn với Reuters rằng bà là nhân viên toàn thời gian duy nhất. Theo Barron, PHP đang thiếu kinh phí nghiêm trọng so với mức độ phụ thuộc của doanh nghiệp và chính phủ vào ngôn ngữ này.
Các chỉ số tài chính được công bố trên trang Open Collective của PHP Foundation phản ánh nguồn lực hiện có:
| Chỉ tiêu | Giá trị được công bố |
|---|---|
| Ngân sách ước tính hằng năm | 974.057,80 USD |
| Tổng tiền huy động từ khi ra mắt cuối năm 2021 | 3,06 triệu USD |
| Tổng tiền đã chi | 2,70 triệu USD |
| Số dư | 356.614,52 USD |
| Thời gian số dư có thể trang trải chi phí | 4 tháng |
| Số người đã đóng góp | 1.927 người |
| Số người cam kết đóng góp hằng tháng | 340 người |
| Tổng giá trị cam kết đóng góp hằng tháng | Khoảng 9.416 USD |
Hai lỗ hổng PHP2Shell và các phiên bản đã vá
PHP2Shell gồm hai lỗ hổng có thể cho phép kẻ tấn công thực thi mã mà không cần đăng nhập. PHP đã phát hành bản vá ngày 21/10; cả hai lỗ hổng đều có điểm nghiêm trọng 9,2/10.
| Hạng mục | Chi tiết |
|---|---|
| Mã định danh lỗ hổng | CVE-2026-109618 và CVE-2026-109619 |
| Tên gọi chung | PHP2Shell |
| Điểm nghiêm trọng | 9,2/10 cho mỗi lỗ hổng |
| Rủi ro được ghi nhận | Thực thi mã không cần đăng nhập; có thể làm lộ mật khẩu và khóa API từ bộ nhớ theo phân tích của Wiz |
| Ngày phát hành bản vá | 21/10 |
| Các phiên bản đã sửa lỗi | PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 |
Cloudflare ghi nhận hàng triệu lượt thử khai thác. Một số website chính phủ tại Phần Lan, Hà Lan và Pháp tạm thời ngừng hoạt động. PHP Foundation phối hợp với OpenAI, Wiz và Calif để xử lý các lỗ hổng.
Elizabeth Barron cho biết chưa có bằng chứng kẻ tấn công khai thác các lỗ hổng trước thời điểm công bố hoặc trên những website đã vá. Việc ghi nhận lượt thử khai thác vì vậy cần được phân biệt với bằng chứng hệ thống đã bị xâm nhập thành công.
AI làm tăng cả khả năng phát hiện lỗi lẫn khối lượng rà soát
AI hỗ trợ phát hiện hai lỗ hổng đã tồn tại trong mã PHP suốt một thập kỷ, đồng thời làm tăng khối lượng rà soát của đội ngũ bảo trì. Mỗi đề xuất sửa mã và báo cáo lỗi vẫn cần người có kinh nghiệm kiểm tra.
Theo Elizabeth Barron, số đề xuất thay đổi mã PHP gần như tăng gấp đôi trong một năm, nhưng lực lượng đóng góp chưa tăng tương ứng. AI giúp lập trình viên làm việc nhanh hơn, song đội ngũ bảo trì vẫn phải dành nguồn lực đánh giá các thay đổi.
PHP đã tồn tại hơn 30 năm. Theo W3Techs, ngôn ngữ này được sử dụng trên 69,3% số website xác định được ngôn ngữ phía máy chủ, khiến năng lực duy trì và xử lý lỗi PHP có ý nghĩa với một phần lớn hạ tầng web.
Nguồn tài trợ và chi phí phát triển PHP cốt lõi
Automattic và JetBrains là hai nhà tài trợ lớn nhất trong các khoản đóng góp được nêu kể từ tháng 12/2021. PHP Foundation sử dụng nguồn tiền huy động để trả cho lập trình viên làm việc trên ngôn ngữ PHP.
| Đơn vị đóng góp | Số tiền | Mốc thời gian được nêu |
|---|---|---|
| Automattic | 762.500 USD | Tính từ tháng 12/2021 |
| JetBrains | 476.670 USD | Tính từ tháng 12/2021 |
| Sovereign Tech Fund | Khoảng 214.115 USD | Không nêu riêng |
| The Linux Foundation | 183.500 USD | Không nêu riêng |
| Zend by Perforce | 56.000 USD | Không nêu riêng |
| Chainguard Team | 50.000 USD | Từ ngày 21/10, khi PHP phát hành bản vá |
| GoDaddy | 48.000 USD | Không nêu riêng |
Private Packagist, Craft CMS, Cybozu và Tideways cũng đóng góp với số tiền nhỏ hơn. Trong các nhóm chi phí được gắn nhãn, phát triển PHP cốt lõi là khoản lớn nhất.
| Chỉ tiêu chi phí | Giá trị |
|---|---|
| Tổng số khoản chi đã thanh toán | 526 khoản |
| Số khoản thanh toán cho phát triển PHP cốt lõi | 227 khoản |
| Tổng chi cho phát triển PHP cốt lõi | Khoảng 1,11 triệu USD |
Tổng kết
PHP Foundation đang duy trì một ngôn ngữ được sử dụng rộng rãi với ngân sách và nhân lực hạn chế. Hai lỗ hổng PHP2Shell đã có bản vá, trong khi số đề xuất sửa mã tăng nhanh tiếp tục đặt áp lực lên khả năng rà soát và nguồn tài trợ cho đội ngũ bảo trì.
