PHP Foundation har én fuldtidsansat

Aula og Københavns Kommunes hjemmeside blev lukket i onsdags aften, fordi to kritiske fejl i programmeringssproget PHP skulle lappes. Bag PHP står PHP Foundation, og dens direktør siger nu, at organisationen er “incredibly under-funded”. Den har én fuldtidsansat. Det er den kode, som borgere, kommuner og virksomheder bruger hver dag, uden at de fleste aner, at den kører under siden.

Én ansat og fjorten freelancere

Direktør Elizabeth Barron fortalte til Reuters, at hun er Foundationens eneste fuldtidsansatte. Hun får hjælp af 14 freelancere, de fleste på deltid, mens bestyrelsen arbejder uden løn. Pengene kommer fra donationer og tilskud. PHP kan ligge under op til 70 procent af verdens websites.

Presset vokser. Foundationen får næsten dobbelt så mange forslag til kodeændringer som for et år siden, men antallet af bidragydere er ikke fordoblet. Barron peger på, at kunstig intelligens både hjalp med at finde fejlene og gør vedligeholdernes arbejde tungere.

Læs også: PHP-sårbarheden var kendt i ti uger

Fejlen lå og ventede i to år

Den ene af de to sårbarheder blev første gang fundet i 2024 under et eksternt sikkerhedstjek udført af firmaet Quarkslab. Det blev organiseret af Open Source Technology Improvement Fund og betalt af Tysklands Sovereign Tech Agency. Dengang vurderede man, at fejlen kun var teoretisk farlig.

Rettelsen gik i stå. Flere løsninger var på bordet, og hver havde en pris: brudt bagudkompatibilitet, risiko for nye nedbrud eller behov for ændringer i mange tredjepartsudvidelser. Den 11. august 2026 meldte sikkerhedsfirmaet Calif og OpenAI uafhængigt af hinanden den samme grundfejl, og Calif viste, at den kunne bruges til at overtage en server.

PHP Foundation kalder selv forsinkelsen “a structural failure”, forårsaget af sikkerhedsteamets beslutningsproces og mangel på ressourcer. Teamet skifter nu fra enighed til flertalsafgørelser. Begge sårbarheder fik 9,2 på den internationale alvorsskala CVSS, og rettelserne kom i PHP 8.5.12, 8.4.27, 8.3.36 og 8.2.35 den 21. oktober.

Kommunerne opdagede PHP, da siderne gik ned

Kombit lukkede flere tjenester onsdag aften, blandt andet Aula, og Københavns Kommune lukkede sin hjemmeside. Ministeren for samfundssikkerhed og beredskab, Lisbeth Bech-Nielsen, sagde til TV 2, at følgerne kunne blive alvorlige, hvis systemejere ikke installerer opdateringerne, og at man kan overveje at gå offline.

Jeppe Engell, der er cybersikkerhedsekspert i Dansk Industri, advarede om, at mange bruger PHP uden at vide det, fordi sproget sidder i leverandørløsninger, hos webbureauer og hos hostingfirmaer. Regeringssider i flere europæiske lande gik mørke, mens rettelserne blev lagt på. Cloudflare har set millioner af forsøg på angreb, mens Foundationen siger, at den ikke har set tegn på udnyttelse før offentliggørelsen.

Læs også: 18.000 hjemmesider på gamle PHP-versioner kan ikke lappes

Hvem betaler for koden

Foundationens egen årsrapport for 2024 viser en økonomi i meget lille målestok. Den modtog 683.550 dollar fra 658 sponsorer og betalte 635.487 dollar til ti udviklere, som arbejder på deltid eller fuld tid. Til 2025 planlagde den at bruge op til 900.000 dollar. Blandt de største bidragydere er Sovereign Tech Agency, JetBrains, Automattic og Laravel.

Direktørstillingen siger noget om prioriteterne. Da Roman Pronskiy meddelte, at han træder af, beskrev stillingsopslaget en kontraktansat leder med 90.000 til 105.000 dollar i grundløn og op til 65.000 dollar i bonus, bundet især til indsamlingsmål. Jobbet er at skaffe penge.

Efter sikkerhedsbruddet beder Foundationen virksomheder, hostingudbydere, cloudplatforme og distributioner om sponsorater, der svarer til deres afhængighed af PHP. Regeringer og offentlige institutioner skal give vedvarende støtte, og den tyske finansiering af sikkerhedstjekket i 2024 nævnes som forbillede. Fejlen, der fik Aula til at lukke, blev altså fundet med tyske penge og lå ulappet, indtil to andre fandt den igen i august.