O último ano viu um aumento drástico de relatórios de vulnerabilidades de software, impulsionados por IA, revelando o subfinanciamento crônico de softwares de código aberto cruciais. O PHP, linguagem que alimenta 71% dos sites, foi a vítima mais recente, com uma falha crítica de execução remota de código.
A Fundação PHP opera com apenas uma pessoa em tempo integral e 14 contratados “maioritariamente a tempo parcial”. Este cenário já preocupante é agravado por práticas de desenvolvimento e administração de sistemas preguiçosas na internet.
Elizabeth Barron, Diretora Executiva da Fundação PHP, é a única funcionária em tempo integral, responsável pelo desenvolvimento e manutenção do núcleo PHP, incluindo correções de segurança. Diferente do Linux, que tem muitos desenvolvedores em tempo integral, a PHP Foundation enfrenta uma escassez de mão de obra.
Apesar da colaboração com empresas e firmas de cibersegurança, a equipe de desenvolvimento estava sobrecarregada mesmo antes do aumento de vulnerabilidades. Embora não houvesse exploração relatada do PHP2Shell antes da correção, a falta de financiamento prejudicou a resposta.
A escassez de financiamento resultou em uma “falha estrutural” para resolver uma vulnerabilidade subjacente (condição OOM descoberta em 2024 que levou a exploits em 2026) em tempo hábil. Devido à disseminação do PHP e suas extensões, o trabalho de correção foi “paralisado e reiniciado repetidamente por meses”.
A equipe agradece o financiamento atual, pois “sem o financiamento da Fundação, teria sido impossível ter várias pessoas trabalhando nesta questão em tempo integral, eventualmente durante fins de semana e ininterruptamente para coordenar e se comunicar com outras partes envolvidas”. Espera-se que este incidente estimule mais empresas a investir.
O problema vai muito além de bugs na linguagem principal. Embora as atualizações para a versão 8.x pudessem ser aplicadas em minutos, a realidade mostrou que muitos sites ficaram horas ou dias offline por medo de exploração.
Quase 73% das instalações PHP estavam rodando versões há muito tempo fora de suporte (EOL). Isso significa que obter correções de segurança é muito mais difícil, algo que profissionais alertam há décadas.
Muitos servidores ainda usam PHP 7, que foi EOL há quatro anos, e cerca de 7,7% operam com a versão 5.x, lançada em 2005 e EOL em 2018. Houve tempo de sobra para se preparar para as atualizações.
As transições de PHP 5 para 7 e 7 para 8 exigiram mudanças no código, mas a maioria delas é simples e ferramentas automatizadas já existiam. A negligência coletiva, preguiça e corte de custos são forças muito maiores do que a ação de bots de IA em busca de falhas.