Resumo:
A manutenção da linguagem de programação de código aberto PHP está enfrentando forte pressão de recursos. Embora o PHP tenha sido desenvolvido há cerca de 30 anos e apoie o funcionamento de um grande número de sites em todo o mundo, a PHP Foundation, uma organização sem fins lucrativos responsável por apoiar o desenvolvimento desta linguagem, tem sido subfinanciada há muito tempo. Elizabeth Barron, diretora executiva da fundação, revelou recentemente que a organização tem atualmente apenas um funcionário em tempo integral, e o resto do seu trabalho é mantido principalmente por contratantes de meio período, doações e subsídios.
Barron disse em entrevista à Reuters que a fundação atualmente tem apenas um funcionário em tempo integral e há outros 14 contratados que trabalham principalmente em meio período. Todos os membros do conselho de administração da fundação exercem suas funções como voluntários e não recebem remuneração. Os recursos operacionais da organização provêm principalmente de doações corporativas e individuais, bem como de diversos projetos de financiamento.
PHP é uma das linguagens de programação mais utilizadas na infraestrutura da Internet. De acordo com estimativas relevantes, até 70% dos sites do mundo podem usar PHP em graus variados. Essa linguagem é amplamente utilizada em backends de sites, sistemas de gerenciamento de conteúdo, plataformas de comércio eletrônico e diversos serviços de rede. Portanto, sua segurança e estabilidade não estão relacionadas apenas aos desenvolvedores, mas também afetam empresas, agências governamentais e usuários comuns da Internet.
Duas recentes violações graves de segurança destacaram ainda mais a importância prática da manutenção do PHP. Esta semana, os investigadores descobriram duas vulnerabilidades críticas, levando os operadores de websites em toda a Europa a verificar urgentemente os seus sistemas e a instalar patches de segurança. Alguns sites governamentais ficaram temporariamente offline para que as operadoras pudessem tomar medidas de proteção até que o risco estivesse sob controle.
A PHP Foundation está trabalhando com pesquisadores externos e diversas empresas, incluindo OpenAI e as empresas de segurança cibernética Wiz e Calif, para investigar essas vulnerabilidades e coordenar correções. O patch relevante foi lançado esta semana. A empresa de segurança cibernética Cloudflare relatou que incidentes relacionados desencadearam milhões de tentativas de hacking. No entanto, Barron disse que a fundação atualmente não tem evidências de que os invasores tenham explorado com sucesso essas falhas antes de serem divulgadas publicamente, e não recebeu mais relatórios de parceiros relevantes de que os sistemas que foram corrigidos foram explorados.
Vale ressaltar que essas vulnerabilidades existem há cerca de dez anos e só foram descobertas recentemente. A tecnologia de inteligência artificial desempenha um papel duplo neste processo: por um lado, ajuda os investigadores a identificar potenciais problemas de segurança e melhora a eficiência do trabalho dos programadores; por outro lado, as ferramentas de IA também reduzem o limite para envio de modificações de código, fazendo com que as equipes de manutenção precisem lidar com mais alterações de código e relatórios de erros.
Barron disse que o projeto PHP atualmente recebe quase o dobro de propostas de modificação de código do ano passado, mas o número de colaboradores não dobrou simultaneamente. Isso significa que os mantenedores devem gastar mais tempo revisando o código, analisando relatórios de problemas e julgando se as alterações enviadas introduzirão novas vulnerabilidades ou quebrarão funcionalidades existentes. Embora a IA possa ajudar na programação, a revisão de código ainda requer uma contribuição humana significativa e experiência profissional e não pode ser realizada apenas por ferramentas automatizadas.
Para projetos de código aberto, só porque o código pode ser visualizado pelo público não significa que sua manutenção possa ser realizada inteiramente por voluntários. Especialmente para softwares básicos como PHP, que é usado por um grande número de sistemas comerciais e serviços públicos, uma falha aparentemente pequena pode afetar um grande número de sites. A equipe de manutenção não só precisa melhorar continuamente a linguagem em si, mas também lidar com falhas de segurança, problemas de compatibilidade, relatórios de bugs e alterações enviadas pelos desenvolvedores.
O dilema enfrentado pela PHP Foundation também reflete um problema de longo prazo no ecossistema de software de código aberto: o escopo de uso do software nem sempre corresponde aos recursos disponíveis para os mantenedores. Empresas e agências governamentais podem construir e operar sistemas de negócios importantes por meio de PHP, mas a manutenção da linguagem subjacente pode depender de equipes limitadas e de fontes instáveis de doações e financiamento. Uma vez que os problemas de segurança ocorrem intensamente, a mão de obra limitada pode estar sob enorme pressão de trabalho.
Barron acredita que considerando o uso generalizado de PHP em sistemas corporativos e governamentais, os recursos atualmente recebidos pela fundação são obviamente insuficientes. À medida que as ferramentas de IA continuam a impulsionar o número de envios de códigos, como expandir as fontes de financiamento, adicionar pessoal de manutenção profissional e garantir que os problemas de segurança possam ser resolvidos em tempo hábil se tornarão questões importantes que o ecossistema PHP precisa enfrentar.
Este incidente também lembrou mais uma vez à indústria que o software de código aberto tem custos. Os usuários podem obter e usar o software gratuitamente, mas a manutenção de segurança a longo prazo, correções de bugs e atualizações de versão do software ainda exigem investimento contínuo de fundos e mão de obra profissional. Para as linguagens de programação básicas que suportam um grande número de serviços de Internet, estabelecer um mecanismo de manutenção que corresponda à sua influência real não é apenas um problema dentro da comunidade de desenvolvedores, mas também relacionado à segurança e confiabilidade de toda a infraestrutura da Internet.
Artigos relacionados:
As vulnerabilidades fatais do PHP são galopantes, 70% dos sites do mundo estão ameaçados e muitas empresas ficaram “offline” durante a noite
Crise de vulnerabilidade do PHP entra no segundo dia: ataques de hackers aumentam para um milhão de vezes Os serviços governamentais em muitos países ainda estão interrompidos
PHP Foundation divulga novas vulnerabilidades que ainda não foram corrigidas e fornece soluções de mitigação, mas não lançará novas versões para corrigi-las por enquanto
Comentários