✨︎ Resumen (TL;DR):
- PHP Foundation pidió financiamiento sostenido después de coordinar la respuesta a dos vulnerabilidades críticas de PHP.
- Sus cuentas de 2025 reportaron US$730,534 en donaciones, pero US$784,376 en gastos.
- PHP publicó cuatro versiones corregidas y el NCSC británico advirtió que las fallas podían permitir ejecutar código remoto sin autenticación.
La PHP Foundation pidió financiamiento sostenido para ampliar su equipo técnico, después de coordinar la respuesta a dos vulnerabilidades críticas del lenguaje que sostiene aplicaciones y servicios web. La entidad opera con una sola empleada de tiempo completo y 14 contratistas, la mayoría de tiempo parcial, mientras sus cuentas de 2025 ya mostraban gastos superiores a los ingresos después de comisiones.
Elizabeth Barron, directora ejecutiva de la fundación, explicó esa composición a Reuters el 23 de octubre. El equipo de seguridad de PHP opera de forma independiente de la fundación y combina integrantes de la comunidad con desarrolladores financiados por ella, según Alexandre Daubois, integrante del equipo, en un informe del 14 de octubre.
Las cuentas de 2025 ya exigían reservas
El informe de transparencia correspondiente a 2025, publicado el 27 de mayo de 2026, registró US$730,534 en donaciones. Después de comisiones, la fundación recibió US$645,191, frente a US$784,376 en gastos.
La diferencia entre esas dos últimas cifras fue de US$139,185. La fundación explicó que decidió usar reservas para sostener la inversión en personal técnico y que mantenía una situación solvente.
Antes de las vulnerabilidades divulgadas en octubre, financiar al equipo ya exigía recurrir a reservas. La presión financiera no comenzó con los avisos de seguridad, aunque estos aumentaron la carga de trabajo.
El retraso combinó consenso y falta de recursos
El comunicado del 21 de octubre señaló que las primeras señales del problema de memoria asociado con CVE-2026-109618 se detectaron en 2024. Las soluciones evaluadas podían romper la compatibilidad, introducir otros riesgos o exigir cambios en numerosas extensiones.
La fundación calificó la demora como una “falla estructural” causada por un proceso de decisiones basado en consenso y por la falta de recursos. Ahora modifica ese proceso para facilitar decisiones por mayoría.
El 21 de octubre, PHP publicó estas versiones:
- PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35, que corrigen CVE-2026-109618 y CVE-2026-109619.
- El NCSC británico advirtió que las fallas podían permitir ejecutar código remoto sin autenticación.
- El organismo recomendó priorizar la actualización de los sistemas expuestos a internet.
La IA ordena avisos, pero no reemplaza la revisión
En su informe del 14 de octubre, Daubois señaló que el equipo había publicado 15 CVE desde el 1 de julio y cerrado 106 reportes porque no constituían vulnerabilidades, duplicaban otros casos o eran irreproducibles. Cada reporte requirió revisión.
Las herramientas de IA ayudan a validar y agrupar avisos. Aun así, una persona sigue decidiendo la gravedad y redactando o revisando cada parche, de acuerdo con el mismo informe. Esa revisión consume tiempo de especialistas incluso cuando el aviso no termina en una corrección.
El 23 de octubre, PHP publicó un aviso sobre otro fallo limitado a configuraciones inusuales. La corrección seguirá el calendario ordinario del proyecto.
La fundación pide financiamiento sostenido a las empresas que utilizan PHP, a los proveedores de alojamiento y a las administraciones públicas para ampliar el número de ingenieros con conocimiento profundo del código.
