Zusammenfassung:
Die Wartung der Open-Source-Programmiersprache PHP steht unter starkem Ressourcendruck. Obwohl PHP seit etwa 30 Jahren entwickelt wird und den Betrieb einer Vielzahl von Websites auf der ganzen Welt unterstützt, war die PHP Foundation, eine gemeinnützige Organisation, die die Entwicklung dieser Sprache unterstützen soll, lange Zeit unterfinanziert. Elizabeth Barron, Geschäftsführerin der Stiftung, gab kürzlich bekannt, dass die Organisation derzeit nur einen Vollzeitmitarbeiter hat und der Rest ihrer Arbeit hauptsächlich durch Teilzeitunternehmer, Spenden und Zuschüsse finanziert wird.
Barron sagte in einem Interview mit Reuters, dass die Stiftung derzeit nur einen Vollzeitmitarbeiter hat und es 14 weitere Auftragnehmer gibt, die hauptsächlich Teilzeit arbeiten. Alle Mitglieder des Stiftungsvorstandes üben ihre Aufgaben ehrenamtlich aus und erhalten keine Vergütung. Die Betriebsmittel der Organisation stammen hauptsächlich aus Unternehmens- und Einzelspenden sowie verschiedenen Förderprojekten.
PHP ist eine der am weitesten verbreiteten Programmiersprachen in der Internetinfrastruktur. Relevanten Schätzungen zufolge verwenden möglicherweise bis zu 70 % der Websites weltweit PHP in unterschiedlichem Maße. Diese Sprache wird häufig in Website-Backends, Content-Management-Systemen, E-Commerce-Plattformen und verschiedenen Netzwerkdiensten verwendet. Daher betreffen seine Sicherheit und Stabilität nicht nur Entwickler, sondern auch Unternehmen, Regierungsbehörden und normale Internetnutzer.
Zwei schwerwiegende Sicherheitsverstöße der letzten Zeit haben die praktische Bedeutung der PHP-Wartung noch einmal deutlich gemacht. Diese Woche entdeckten Forscher zwei kritische Schwachstellen, was Website-Betreiber in ganz Europa dazu veranlasste, dringend ihre Systeme zu überprüfen und Sicherheitspatches zu installieren. Einige staatliche Websites waren vorübergehend offline, damit die Betreiber Schutzmaßnahmen ergreifen konnten, bis das Risiko unter Kontrolle war.
Die PHP Foundation arbeitet mit externen Forschern und mehreren Unternehmen, darunter OpenAI und den Cybersicherheitsunternehmen Wiz und Calif, zusammen, um diese Schwachstellen zu untersuchen und Korrekturen zu koordinieren. Der entsprechende Patch wurde diese Woche veröffentlicht. Das Cybersicherheitsunternehmen Cloudflare berichtete, dass entsprechende Vorfälle Millionen von Hackerversuchen auslösten. Barron sagte jedoch, dass die Stiftung derzeit keine Beweise dafür habe, dass Angreifer diese Schwachstellen erfolgreich ausgenutzt hätten, bevor sie öffentlich bekannt wurden, und dass sie keine weiteren Berichte von relevanten Partnern erhalten habe, dass gepatchte Systeme ausgenutzt worden seien.
Es ist erwähnenswert, dass diese Schwachstellen seit etwa zehn Jahren bestehen und erst kürzlich entdeckt wurden. Die Technologie der künstlichen Intelligenz spielt in diesem Prozess eine doppelte Rolle: Einerseits hilft sie Forschern, potenzielle Sicherheitsprobleme zu erkennen und verbessert die Arbeitseffizienz von Programmierern. Andererseits senken KI-Tools auch die Schwelle für die Übermittlung von Codeänderungen, was dazu führt, dass Wartungsteams mehr Codeänderungen und Fehlerberichte bearbeiten müssen.
Barron sagte, dass das PHP-Projekt derzeit fast doppelt so viele Code-Änderungsvorschläge erhält wie vor einem Jahr, aber die Zahl der Mitwirkenden hat sich nicht gleichzeitig verdoppelt. Das bedeutet, dass Betreuer mehr Zeit damit verbringen müssen, den Code zu überprüfen, Problemberichte zu analysieren und zu beurteilen, ob übermittelte Änderungen neue Schwachstellen verursachen oder bestehende Funktionen beeinträchtigen. Obwohl KI bei der Programmierung helfen kann, erfordert die Codeüberprüfung immer noch erhebliche menschliche Eingaben und Berufserfahrung und kann nicht allein durch automatisierte Tools durchgeführt werden.
Nur weil der Code für die Öffentlichkeit einsehbar ist, heißt das bei Open-Source-Projekten nicht, dass seine Wartung vollständig von Freiwilligen durchgeführt werden kann. Insbesondere bei Basissoftware wie PHP, die von einer Vielzahl kommerzieller Systeme und öffentlicher Dienste verwendet wird, kann ein scheinbar kleiner Fehler eine große Anzahl von Websites betreffen. Das Wartungsteam muss nicht nur die Sprache selbst kontinuierlich verbessern, sondern sich auch mit Sicherheitslücken, Kompatibilitätsproblemen, Fehlerberichten und von Entwicklern eingereichten Änderungen befassen.
Das Dilemma, mit dem die PHP Foundation konfrontiert ist, spiegelt auch ein langfristiges Problem im Open-Source-Software-Ökosystem wider: Der Umfang der Softwarenutzung entspricht nicht immer den Ressourcen, die den Betreuern zur Verfügung stehen. Unternehmen und Regierungsbehörden können mit PHP wichtige Geschäftssysteme aufbauen und betreiben, die Wartung der zugrunde liegenden Sprache hängt jedoch möglicherweise von begrenzten Teams und instabilen Spenden- und Finanzierungsquellen ab. Sobald Sicherheitsprobleme intensiv auftreten, kann es sein, dass begrenzte Arbeitskräfte einem enormen Arbeitsdruck ausgesetzt sind.
Barron ist der Ansicht, dass angesichts der weit verbreiteten Verwendung von PHP in Unternehmens- und Regierungssystemen die derzeit von der Stiftung bereitgestellten Ressourcen offensichtlich unzureichend sind. Da KI-Tools weiterhin die Zahl der Codeeinreichungen steigern, wird es zu wichtigen Themen, denen sich das PHP-Ökosystem stellen muss, wie die Finanzierungsquellen erweitert, professionelles Wartungspersonal eingestellt und sichergestellt werden kann, dass Sicherheitsprobleme rechtzeitig behoben werden können.
Dieser Vorfall hat die Branche auch einmal mehr daran erinnert, dass Open-Source-Software nicht kostenlos ist. Benutzer können die Software kostenlos erhalten und nutzen, aber langfristige Sicherheitswartung, Fehlerbehebungen und Versionsaktualisierungen der Software erfordern weiterhin eine kontinuierliche Investition von Geldern und professioneller Arbeitskraft. Für die grundlegenden Programmiersprachen, die eine große Anzahl von Internetdiensten unterstützen, ist die Einrichtung eines Wartungsmechanismus, der ihrem tatsächlichen Einfluss entspricht, nicht nur ein Problem innerhalb der Entwicklergemeinschaft, sondern hängt auch mit der Sicherheit und Zuverlässigkeit der gesamten Internetinfrastruktur zusammen.
Verwandte Artikel:
Tödliche PHP-Schwachstellen sind weit verbreitet, 70 % der Websites weltweit sind bedroht und viele Unternehmen wurden über Nacht „offline“
PHP-Schwachstellenkrise geht in den zweiten Tag: Hackerangriffe nehmen auf eine Million zu. Regierungsdienste in vielen Ländern sind immer noch gestört
PHP Foundation legt neue Schwachstellen offen, die noch nicht behoben wurden, und bietet Abhilfemaßnahmen, wird jedoch vorerst keine neuen Versionen veröffentlichen, um diese zu beheben
Kommentare