PHP Vakfı’nda Tek Tam Zamanlı Çalışan Var: Web’in Büyük Kısmı Buna Emanet

Bu hafta ortaya çıkan iki kritik güvenlik açığı, dünyanın en yaygın web programlama dillerinden PHP’nin ne kadar kırılgan bir temele dayandığını gözler önüne serdi. Dilin geliştirilmesini koordine eden PHP Vakfı’nın yönetici direktörü, kuruluşun yalnızca bir tam zamanlı çalışanı olduğunu açıkladı.

Bir tam zamanlı çalışan, 14 sözleşmeli

Reuters’a konuşan Yönetici Direktör Elizabeth Barron, vakıfta kendisinin tek tam zamanlı personel olduğunu, bunun yanında çoğu yarı zamanlı çalışan 14 sözleşmeli bulunduğunu söyledi. Yönetim kurulu üyeleri ise ücret almayan gönüllülerden oluşuyor. Vakıf bütçesini bağışlardan ve hibelerden karşılıyor. Barron’a göre PHP’nin kurumlara ve hükûmetlere bu kadar bağımlı olduğu düşünüldüğünde projenin “inanılmaz derecede yetersiz fonlandığı” açık.

Açıkları yapay zekâ buldu, yük ağırlaştı

Yamalar çarşamba günü yayımlandı. Vakıf, açıkları araştırmak ve düzeltmeleri eşgüdümlü yayımlamak için OpenAI ile Wiz ve Calif gibi siber güvenlik şirketleriyle çalıştı. Yapay zekâ, yaklaşık on yıldır koddaki bu hataların bulunmasına yardım etti ve geliştiricilerin verimliliğini artırdı. Ancak aynı teknoloji bakımcıların iş yükünü de büyütüyor: Barron, projeye gelen kod değişikliği önerilerinin bir yıl öncesine göre neredeyse iki katına çıktığını, katkıcı sayısının ise aynı oranda artmadığını belirtti.

Saldırı denemeleri milyonları buldu, kanıt yok

Güvenlik şirketi Cloudflare, açıkların duyurulmasının ardından ağında milyonlarca saldırı girişimi gördüğünü bildirdi. Buna karşın Barron, açıkların kamuoyuna duyurulmasından önce veya yamalanmış sistemlerde istismar edildiğine dair elde bir kanıt bulunmadığını ifade etti. Ortak çalışılan OpenAI, Wiz ve Calif de yamalı sistemlerde herhangi bir soruna işaret etmedi. Yine de uzmanlar, birçok sunucunun eski PHP sürümlerini çalıştırdığını ve tehlikenin tamamen geçmediğini vurguluyor.