Deux failles critiques dans PHP : une fondation à un seul salarié

Reuters rapporte que la PHP Foundation, l'organisation qui soutient le langage PHP, ne compte qu'une seule employée à temps plein, alors que deux graves failles de sécurité ont imposé cette semaine des correctifs d'urgence à des sites web du monde entier. Selon l'agence, Elizabeth Barron, secrétaire générale de la fondation, travaille avec 14 prestataires, majoritairement à temps partiel.

Les correctifs diffusés le 21 octobre ont été préparés avec des chercheurs externes et des entreprises, dont OpenAI, Wiz et Cloudflare. Cloudflare a détecté des millions de tentatives d'intrusion, mais Elizabeth Barron a indiqué qu'aucun élément ne montre que des pirates ont exploité les failles avant leur publication ni sur des sites déjà corrigés.

La fondation fonctionne sur des dons et des subventions, et les membres de son conseil d'administration sont bénévoles et non rémunérés, toujours selon Reuters. Des sites gouvernementaux européens ont bloqué l'accès le 21 octobre pour appliquer les correctifs, précise l'agence.

Des propositions de code en forte hausse

Les propositions de modification du code soumises au projet PHP ont presque doublé par rapport à l'année précédente, tandis que le nombre de relecteurs n'a pas augmenté dans les mêmes proportions. Des chercheurs en intelligence artificielle ont par ailleurs identifié des bugs restés cachés pendant 10 ans.

Elizabeth Barron a déclaré que l'incident avait mis en lumière la dépendance des entreprises et des gouvernements à PHP, et que le soutien apporté au langage demeure bien trop faible en comparaison. PHP, langage open source âgé de 30 ans, est utilisé par jusqu'à 70 % des sites web mondiaux, selon les estimations citées par les faits.