Аннотация:
Поддержка языка программирования с открытым исходным кодом PHP сталкивается с серьезной нехваткой ресурсов. Хотя PHP разрабатывается уже около 30 лет и поддерживает работу большого количества веб-сайтов по всему миру, PHP Foundation, некоммерческая организация, отвечающая за поддержку развития этого языка, долгое время недофинансировалась. Элизабет Бэррон, исполнительный директор фонда, недавно сообщила, что в настоящее время в организации работает только один штатный сотрудник, а остальная часть ее работы в основном поддерживается подрядчиками, работающими неполный рабочий день, пожертвованиями и грантами.
Бэррон сказал в интервью агентству Reuters, что в настоящее время в фонде работает только один штатный сотрудник, а еще 14 подрядчиков работают в основном неполный рабочий день. Все члены совета директоров фонда выполняют свои обязанности в качестве волонтеров и не получают вознаграждения. Операционные средства организации в основном поступают за счет корпоративных и индивидуальных пожертвований, а также различных проектов финансирования.
PHP — один из наиболее широко используемых языков программирования в инфраструктуре Интернета. По соответствующим оценкам, до 70% веб-сайтов в мире могут в той или иной степени использовать PHP. Этот язык широко используется в серверных частях веб-сайтов, системах управления контентом, платформах электронной коммерции и различных сетевых сервисах. Поэтому его безопасность и стабильность касаются не только разработчиков, но также затрагивают предприятия, государственные учреждения и обычных пользователей Интернета.
Два недавних серьезных нарушения безопасности еще раз подчеркнули практическую важность поддержки PHP. На этой неделе исследователи обнаружили две критические уязвимости, что побудило операторов веб-сайтов по всей Европе срочно проверить свои системы и установить исправления безопасности. Некоторые правительственные веб-сайты были временно отключены, чтобы операторы могли принять защитные меры, пока риск не окажется под контролем.
Фонд PHP работает с внешними исследователями и несколькими компаниями, включая OpenAI и компании по кибербезопасности Wiz и Calif, над исследованием этих уязвимостей и координацией их исправления. Соответствующий патч вышел на этой неделе. Компания по кибербезопасности Cloudflare сообщила, что подобные инциденты стали причиной миллионов попыток взлома. Однако Бэррон заявил, что в настоящее время фонд не располагает доказательствами того, что злоумышленники успешно воспользовались этими недостатками до того, как они были публично раскрыты, и не получил дальнейших сообщений от соответствующих партнеров о том, что системы, которые были исправлены, были взломаны.
Стоит отметить, что данные уязвимости существуют уже около десяти лет и были обнаружены лишь недавно. Технология искусственного интеллекта играет в этом процессе двойную роль: с одной стороны, она помогает исследователям выявлять потенциальные проблемы безопасности и повышает эффективность работы программистов; с другой стороны, инструменты искусственного интеллекта также снижают порог для отправки изменений кода, в результате чего группам обслуживания приходится обрабатывать больше изменений кода и отчетов об ошибках.
Бэррон сказал, что проект PHP в настоящее время получает почти в два раза больше предложений по модификации кода, чем год назад, но количество участников одновременно не удвоилось. Это означает, что сопровождающие должны тратить больше времени на проверку кода, анализ отчетов о проблемах и оценку того, приведут ли внесенные изменения к появлению новых уязвимостей или нарушению существующих функций. Хотя ИИ может помочь в программировании, проверка кода по-прежнему требует значительного человеческого участия и профессионального опыта и не может быть выполнена исключительно с помощью автоматизированных инструментов.
Для проектов с открытым исходным кодом тот факт, что код доступен для просмотра публике, не означает, что его обслуживание может выполняться исключительно добровольцами. Особенно это касается базового программного обеспечения, такого как PHP, которое используется большим количеством коммерческих систем и государственных служб, и, казалось бы, небольшой недостаток может повлиять на большое количество веб-сайтов. Группе поддержки необходимо не только постоянно улучшать сам язык, но также решать проблемы безопасности, проблемы совместимости, отчеты об ошибках и изменения, представленные разработчиками.
Дилемма, с которой сталкивается PHP Foundation, также отражает долгосрочную проблему в экосистеме программного обеспечения с открытым исходным кодом: объем использования программного обеспечения не всегда соответствует ресурсам, доступным сопровождающим. Предприятия и правительственные учреждения могут создавать и эксплуатировать важные бизнес-системы с помощью PHP, но поддержание базового языка может зависеть от ограниченного количества команд и нестабильных источников пожертвований и финансирования. Когда проблемы безопасности возникают интенсивно, ограниченный персонал может оказаться под огромным рабочим давлением.
Бэррон считает, что, учитывая широкое использование PHP в корпоративных и государственных системах, ресурсов, которые в настоящее время получает фонд, явно недостаточно. Поскольку инструменты искусственного интеллекта продолжают увеличивать количество отправляемых кодов, важными проблемами, с которыми должна столкнуться экосистема PHP, станут вопросы расширения источников финансирования, привлечения профессионального обслуживающего персонала и обеспечения своевременного решения проблем безопасности.
Этот инцидент также еще раз напомнил отрасли, что программное обеспечение с открытым исходным кодом не обходится без затрат. Пользователи могут получить и использовать программное обеспечение бесплатно, но долгосрочное обслуживание безопасности, исправление ошибок и обновление версий программного обеспечения по-прежнему требуют постоянных инвестиций и профессиональной рабочей силы. Для базовых языков программирования, поддерживающих большое количество интернет-сервисов, создание механизма сопровождения, соответствующего их реальному влиянию, является проблемой не только внутри сообщества разработчиков, но также связанной с безопасностью и надежностью всей интернет-инфраструктуры.
Статьи по теме:
Смертельные уязвимости PHP широко распространены, 70 % веб-сайтов в мире находятся под угрозой, и многие компании в одночасье оказались отключены от сети
Кризис уязвимости PHP наступает второй день: количество хакерских атак выросло в миллион раз. Государственные услуги во многих странах по-прежнему не работают.
PHP Foundation раскрывает новые уязвимости, которые еще не устранены, и предлагает решения по их устранению, но пока не выпускает новые версии для их исправления.
Комментарии