Riassunto:
Il mantenimento del linguaggio di programmazione open source PHP si trova ad affrontare una forte pressione in termini di risorse. Sebbene PHP sia stato sviluppato da circa 30 anni e supporti il funzionamento di un gran numero di siti Web in tutto il mondo, la PHP Foundation, un'organizzazione senza scopo di lucro responsabile del sostegno allo sviluppo di questo linguaggio, è stata a lungo sottofinanziata. Elizabeth Barron, direttrice esecutiva della fondazione, ha recentemente rivelato che l'organizzazione ha attualmente un solo dipendente a tempo pieno, e il resto del suo lavoro è sostenuto principalmente da appaltatori part-time, donazioni e sovvenzioni.
Barron ha dichiarato in un'intervista a Reuters che la fondazione ha attualmente un solo membro del personale a tempo pieno e ci sono altri 14 collaboratori che lavorano principalmente a tempo parziale. Tutti i membri del consiglio di amministrazione della fondazione svolgono le loro funzioni come volontari e non ricevono alcun compenso. I fondi operativi dell'organizzazione provengono principalmente da donazioni aziendali e individuali, nonché da vari progetti di finanziamento.
PHP è uno dei linguaggi di programmazione più utilizzati nell'infrastruttura Internet. Secondo stime pertinenti, circa il 70% dei siti web del mondo utilizza PHP a vari livelli. Questo linguaggio è ampiamente utilizzato nei backend dei siti Web, nei sistemi di gestione dei contenuti, nelle piattaforme di e-commerce e in vari servizi di rete. Pertanto, la sua sicurezza e stabilità non riguardano solo gli sviluppatori, ma riguardano anche le imprese, gli enti governativi e i normali utenti di Internet.
Due recenti gravi violazioni della sicurezza hanno ulteriormente evidenziato l'importanza pratica della manutenzione di PHP. Questa settimana, i ricercatori hanno scoperto due vulnerabilità critiche, spingendo gli operatori di siti web in tutta Europa a controllare urgentemente i loro sistemi e installare patch di sicurezza. Alcuni siti web governativi sono stati temporaneamente offline in modo che gli operatori potessero adottare misure di protezione finché il rischio non fosse sotto controllo.
La PHP Foundation sta collaborando con ricercatori esterni e diverse aziende, tra cui OpenAI e le società di sicurezza informatica Wiz e Calif, per indagare su queste vulnerabilità e coordinare le correzioni. La patch pertinente è stata rilasciata questa settimana. La società di sicurezza informatica Cloudflare ha riferito che gli incidenti correlati hanno innescato milioni di tentativi di hacking. Tuttavia, Barron ha affermato che la fondazione attualmente non ha prove che gli aggressori abbiano sfruttato con successo queste falle prima che fossero rese pubbliche, e non ha ricevuto ulteriori segnalazioni dai partner rilevanti che i sistemi a cui sono state applicate le patch siano stati sfruttati.
Vale la pena notare che queste vulnerabilità esistono da circa dieci anni e sono state scoperte solo di recente. La tecnologia dell’intelligenza artificiale svolge un duplice ruolo in questo processo: da un lato aiuta i ricercatori a identificare potenziali problemi di sicurezza e migliora l’efficienza del lavoro dei programmatori; D’altro canto, gli strumenti di intelligenza artificiale abbassano anche la soglia per l’invio di modifiche al codice, con il risultato che i team di manutenzione devono gestire più modifiche al codice e segnalazioni di errori.
Barron ha affermato che il progetto PHP attualmente riceve quasi il doppio delle proposte di modifica del codice rispetto a un anno fa, ma il numero dei contributori non è raddoppiato contemporaneamente. Ciò significa che i manutentori devono dedicare più tempo alla revisione del codice, all'analisi dei rapporti sui problemi e al giudizio se le modifiche inviate introdurranno nuove vulnerabilità o interromperanno le funzionalità esistenti. Sebbene l’intelligenza artificiale possa aiutare nella programmazione, la revisione del codice richiede comunque un significativo contributo umano ed esperienza professionale e non può essere eseguita esclusivamente da strumenti automatizzati.
Per i progetti open source, solo perché il codice può essere visualizzato dal pubblico non significa che la sua manutenzione possa essere completata interamente da volontari. Soprattutto nel caso di software di base come PHP, che viene utilizzato da un gran numero di sistemi commerciali e servizi pubblici, un difetto apparentemente piccolo può colpire un gran numero di siti web. Il team di manutenzione non solo deve migliorare continuamente il linguaggio stesso, ma deve anche occuparsi delle falle di sicurezza, dei problemi di compatibilità, delle segnalazioni di bug e delle modifiche inviate dagli sviluppatori.
Il dilemma affrontato dalla PHP Foundation riflette anche un problema a lungo termine nell'ecosistema del software open source: l'ambito di utilizzo del software non sempre corrisponde alle risorse a disposizione dei manutentori. Le imprese e gli enti governativi possono creare e gestire importanti sistemi aziendali tramite PHP, ma il mantenimento del linguaggio sottostante può fare affidamento su team limitati e fonti instabili di donazioni e finanziamenti. Una volta che i problemi di sicurezza si verificano in modo intenso, la manodopera limitata può essere sottoposta a un’enorme pressione lavorativa.
Barron ritiene che, considerando l'uso diffuso di PHP nei sistemi aziendali e governativi, le risorse attualmente ricevute dalla fondazione siano ovviamente insufficienti. Poiché gli strumenti di intelligenza artificiale continuano a guidare il numero di invii di codice, come espandere le fonti di finanziamento, aggiungere personale di manutenzione professionale e garantire che i problemi di sicurezza possano essere gestiti in modo tempestivo diventeranno questioni importanti che l’ecosistema PHP dovrà affrontare.
Questo incidente ha ricordato ancora una volta al settore che il software open source non è privo di costi. Gli utenti possono ottenere e utilizzare il software gratuitamente, ma la manutenzione della sicurezza a lungo termine, la correzione dei bug e gli aggiornamenti della versione del software richiedono ancora investimenti continui di fondi e manodopera professionale. Per i linguaggi di programmazione di base che supportano un gran numero di servizi Internet, stabilire un meccanismo di manutenzione che corrisponda alla loro effettiva influenza non è solo un problema all’interno della comunità degli sviluppatori, ma riguarda anche la sicurezza e l’affidabilità dell’intera infrastruttura Internet.
Articoli correlati:
Le vulnerabilità fatali di PHP sono dilaganti, il 70% dei siti Web di tutto il mondo è minacciato e molte aziende sono state "offline" dall'oggi al domani
La crisi della vulnerabilità PHP entra nel secondo giorno: gli attacchi hacker raggiungono un milione di volte I servizi governativi in molti paesi sono ancora interrotti
PHP Foundation rivela nuove vulnerabilità che non sono ancora state risolte e fornisce soluzioni di mitigazione ma per il momento non rilascerà nuove versioni per risolverle
Commenti