PHP Foundation tem só um funcionário em tempo integral, diz diretora

A PHP↳PHP44 conteúdosPadronizando seu código com PHP CS FixerDev (Back & Front) · mai 2019Docker de imagem. Para rodar projetos PHP em menos de 30 segundosDev (Back & Front) · jan 2026PHP 7.3: conheça as novidades desta versãoDev (Back & Front) · abr 2019Ver tudo em Dev (Back & Front) → Foundation diz operar com apenas um funcionário em tempo integral e 14 colaboradores part-time, dias depois de coordenar a correção de duas falhas graves na linguagem que move boa parte da web, incluindo serviços brasileiros.

Nota da redação: este artigo cita especificamente e-commerces, portais de notícia, back-ends de bancos e órgãos públicos, além de instalações WordPress e Laravel no Brasil como afetados pelas falhas do PHP. Essa associação direta ao Brasil é uma extrapolação da redação a partir do uso amplamente conhecido do PHP no país; ela não consta na reportagem da Reuters/Economic Times usada como fonte, que não menciona o Brasil nem setores específicos. Os demais dados e citações do artigo (estrutura da PHP Foundation, falas de Elizabeth Barron, parceiros envolvidos, percentual de sites rodando PHP) são confirmados pela fonte original.

A PHP Foundation diz operar com apenas um funcionário em tempo integral e 14 colaboradores part-time, dias depois de coordenar a correção de duas falhas graves na linguagem que move boa parte da web, incluindo serviços brasileiros.

Duas falhas que pararam a semana

Nesta semana, pesquisadores de segurança descobriram duas falhas graves no PHP, linguagem que sustenta parte relevante da infraestrutura web há mais de três décadas. As correções foram publicadas na quarta-feira, dia 21 de outubro de 2026, depois de uma corrida global para proteger sites antes que as vulnerabilidades fossem exploradas em massa, segundo reportagem da Reuters publicada pelo Economic Times.

O episódio reacendeu uma pergunta incômoda para quem depende da linguagem: quem, afinal, mantém o PHP de pé? A resposta, dada pela própria diretora executiva da PHP Foundation, Elizabeth Barron, expõe um descompasso grande entre a importância da linguagem e o tamanho de quem cuida dela.

Uma fundação, um funcionário, 14 colaboradores

Em entrevista por email concedida na sexta-feira, Barron descreveu a estrutura real por trás do projeto.

Temos uma pessoa em tempo integral (que sou eu) e 14 colaboradores, a maioria em regime parcial.

We have one full-time staff member (that's me) and 14 mostly part-time contractors.Elizabeth Barron, diretora executiva da PHP Foundation

Além do único funcionário remunerado em tempo integral, o conselho da fundação é formado por voluntários não remunerados. O financiamento vem de doações e de grants, sem receita própria recorrente. Foi essa estrutura enxuta que coordenou, com pesquisadores externos, a investigação das duas falhas corrigidas na última quarta-feira.

Entre os parceiros citados por Barron estão a OpenAI e as empresas de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → Wiz e Calif, que trabalharam junto à fundação para identificar e documentar as vulnerabilidades antes da divulgação pública dos patches.

O que se sabe (e o que não se sabe) sobre exploração

A Cloudflare registrou milhões de tentativas de ataque contra sites PHP desde que as falhas vieram a público, segundo a reportagem. Apesar do volume de tentativas, Barron afirma que a fundação não tem evidência de que os bugs tenham sido explorados com sucesso antes da divulgação, nem em sistemas que já receberam as correções.

Não recebemos nenhuma outra indicação da OpenAI, da Wiz ou da Calif, com quem estamos trabalhando de perto nesse caso, sobre problemas em sistemas já corrigidos.

We received no further indication from OpenAI, Wiz or Calif, with whom we're working closely on this issue, regarding any issues on patched systems.Elizabeth Barron, diretora executiva da PHP Foundation

IA ajuda a achar bugs, mas também aumenta a fila

As duas falhas corrigidas na quarta-feira estavam presentes no código do PHP há cerca de uma década, segundo Barron. Ferramentas de inteligência artificial↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → tiveram papel direto na descoberta: ajudaram pesquisadores a encontrar as vulnerabilidades e, segundo a diretora, tornaram programadores mais produtivos no dia a dia de manutenção do projeto.

O outro lado da moeda é o volume de trabalho que recai sobre quem mantém o código. O projeto PHP recebe hoje quase o dobro de propostas de mudança de código em relação a um ano atrás, mas o número de contribuidores não cresceu na mesma proporção, segundo Barron. Revisar cada contribuição e cada relato de bug, na prática, exige tempo e experiência humana que a fundação não tem em quantidade suficiente.

O que isso significa para quem roda PHP no Brasil

A fundação estima que o PHP esteja por trás de até 70% dos sites do mundo, segundo a reportagem. No Brasil, a presença é igualmente ampla: e-commerces, portais de notícia, back-ends internos de bancos e órgãos públicos, além da enorme base de instalações WordPress e Laravel, dependem direta ou indiretamente do runtime e das correções de segurança mantidas por essa estrutura enxuta.

Para quem administra servidor PHP em produção, o caso reforça uma lição prática e nada nova, mas agora com dados concretos por trás: atualizar para a versão corrigida não é opcional, é parte do trabalho de manter a aplicação segura. A equipe que investiga e corrige falhas críticas da linguagem que roda a sua aplicação é, hoje, formada por um funcionário em tempo integral e 14 colaboradores majoritariamente part-time, dividindo esse trabalho com outros empregos.

Isso também pesa no cálculo de risco de quem mantém sistemas legados em versões de PHP sem suporte oficial. Sem os patches produzidos por essa fundação, a defesa contra vulnerabilidades como as descobertas nesta semana fica inteiramente a cargo de quem administra a infraestrutura, sem a rede de pesquisa coordenada que ajudou a identificar e corrigir as falhas atuais.

O paradoxo da dependência crítica

Barron resume o problema com uma frase direta.

Diante dessa dependência, fica claro que o PHP está extremamente subfinanciado.

Given that reliance, it is clear that PHP is incredibly under-funded.Elizabeth Barron, diretora executiva da PHP Foundation

A declaração expõe um padrão recorrente em infraestrutura open source crítica: linguagens e bibliotecas usadas por bilhões de aplicações dependem, no fim da cadeia, de um grupo pequeno de pessoas trabalhando com recursos limitados, numa dinâmica parecida com a que já expôs projetos como o OpenSSL em crises anteriores do ecossistema.

A reportagem não traz, até o momento, nenhum compromisso de aumento de financiamento por parte das empresas que dependem do PHP em escala, nem um plano concreto de expansão da equipe da fundação. Para quem constrói e mantém aplicações PHP, incluindo no Brasil, a conta fica em aberto: a infraestrutura que corrige falhas críticas da linguagem continua sustentada, na prática, por um punhado de pessoas.

Fonte: ET Tech (Índia)