Résumé :
La maintenance du langage de programmation open source PHP est confrontée à une forte pression sur les ressources. Même si PHP est développé depuis environ 30 ans et soutient le fonctionnement d'un grand nombre de sites Web à travers le monde, la Fondation PHP, une organisation à but non lucratif chargée de soutenir le développement de ce langage, est depuis longtemps sous-financée. Elizabeth Barron, directrice exécutive de la fondation, a récemment révélé que l'organisation ne compte actuellement qu'un seul employé à temps plein et que le reste de son travail est principalement assuré par des entrepreneurs à temps partiel, des dons et des subventions.
Barron a déclaré dans une interview avec Reuters que la fondation ne compte actuellement qu'un seul membre du personnel à temps plein et qu'il y a 14 autres sous-traitants qui travaillent principalement à temps partiel. Tous les membres du conseil d'administration de la fondation exercent leurs fonctions à titre bénévole et ne reçoivent aucune rémunération. Les fonds de fonctionnement de l'organisme proviennent principalement de dons d'entreprises et de particuliers, ainsi que de divers projets de financement.
PHP est l'un des langages de programmation les plus utilisés dans les infrastructures Internet. Selon des estimations pertinentes, jusqu'à 70 % des sites Web dans le monde pourraient utiliser PHP à des degrés divers. Ce langage est largement utilisé dans les backends de sites Web, les systèmes de gestion de contenu, les plateformes de commerce électronique et divers services réseau. Par conséquent, sa sécurité et sa stabilité ne concernent pas seulement les développeurs, mais affectent également les entreprises, les agences gouvernementales et les utilisateurs Internet ordinaires.
Deux récentes failles de sécurité graves ont encore souligné l'importance pratique de la maintenance PHP. Cette semaine, des chercheurs ont découvert deux vulnérabilités critiques, incitant les opérateurs de sites Web de toute l'Europe à vérifier de toute urgence leurs systèmes et à installer des correctifs de sécurité. Certains sites Web gouvernementaux ont été temporairement hors ligne afin que les opérateurs puissent prendre des mesures de protection jusqu'à ce que le risque soit maîtrisé.
La Fondation PHP travaille avec des chercheurs externes et plusieurs sociétés, dont OpenAI et les sociétés de cybersécurité Wiz et Calif, pour enquêter sur ces vulnérabilités et coordonner les correctifs. Le correctif correspondant a été publié cette semaine. La société de cybersécurité Cloudflare a signalé que des incidents liés avaient déclenché des millions de tentatives de piratage. Cependant, Barron a déclaré que la fondation ne dispose actuellement d'aucune preuve que les attaquants ont réussi à exploiter ces failles avant qu'elles ne soient divulguées publiquement, et n'a pas reçu d'autres rapports de partenaires concernés indiquant que les systèmes qui ont été corrigés ont été exploités.
Il est à noter que ces vulnérabilités existent depuis une dizaine d’années et n’ont été découvertes que récemment. La technologie de l'intelligence artificielle joue un double rôle dans ce processus : d'une part, elle aide les chercheurs à identifier les problèmes de sécurité potentiels et améliore l'efficacité du travail des programmeurs ; d'un autre côté, les outils d'IA abaissent également le seuil de soumission de modifications de code, ce qui oblige les équipes de maintenance à gérer davantage de modifications de code et de rapports d'erreurs.
Barron a déclaré que le projet PHP reçoit actuellement près de deux fois plus de propositions de modification de code qu'il y a un an, mais que le nombre de contributeurs n'a pas doublé simultanément. Cela signifie que les responsables doivent consacrer plus de temps à réviser le code, à analyser les rapports de problèmes et à juger si les modifications soumises introduiront de nouvelles vulnérabilités ou interrompront les fonctionnalités existantes. Bien que l’IA puisse aider à la programmation, la révision du code nécessite toujours un apport humain important et une expérience professionnelle et ne peut être réalisée uniquement par des outils automatisés.
Pour les projets open source, ce n'est pas parce que le code peut être consulté par le public que sa maintenance peut être entièrement effectuée par des bénévoles. Surtout pour les logiciels de base comme PHP, qui sont utilisés par un grand nombre de systèmes commerciaux et de services publics, une faille apparemment minime peut affecter un grand nombre de sites Web. L'équipe de maintenance doit non seulement améliorer continuellement le langage lui-même, mais également gérer les failles de sécurité, les problèmes de compatibilité, les rapports de bogues et les modifications soumises par les développeurs.
Le dilemme auquel est confrontée la Fondation PHP reflète également un problème de longue date dans l'écosystème des logiciels open source : le champ d'utilisation des logiciels ne correspond pas toujours aux ressources disponibles pour les responsables. Les entreprises et les agences gouvernementales peuvent créer et exploiter d'importants systèmes commerciaux via PHP, mais la maintenance du langage sous-jacent peut dépendre d'équipes limitées et de sources instables de dons et de financement. Lorsque des problèmes de sécurité surviennent de manière intensive, une main d’œuvre limitée peut être soumise à une énorme pression de travail.
Barron estime que compte tenu de l'utilisation généralisée de PHP dans les systèmes d'entreprise et gouvernementaux, les ressources actuellement reçues par la fondation sont évidemment insuffisantes. Alors que les outils d'IA continuent de générer le nombre de soumissions de code, la manière d'élargir les sources de financement, d'ajouter du personnel de maintenance professionnel et de garantir que les problèmes de sécurité peuvent être traités en temps opportun deviendra des problèmes importants auxquels l'écosystème PHP devra faire face.
Cet incident a également rappelé une fois de plus à l'industrie que les logiciels open source ont un coût. Les utilisateurs peuvent obtenir et utiliser le logiciel gratuitement, mais la maintenance de la sécurité à long terme, les corrections de bogues et les mises à jour de version du logiciel nécessitent toujours un investissement continu en fonds et en main-d'œuvre professionnelle. Pour les langages de programmation de base qui prennent en charge un grand nombre de services Internet, l'établissement d'un mécanisme de maintenance qui correspond à leur influence réelle n'est pas seulement un enjeu au sein de la communauté des développeurs, mais également lié à la sécurité et à la fiabilité de l'ensemble de l'infrastructure Internet.
Articles connexes :
Les vulnérabilités fatales de PHP sont monnaie courante, 70 % des sites Web dans le monde sont menacés et de nombreuses entreprises ont été « hors ligne » du jour au lendemain
La crise de vulnérabilité PHP entre dans sa deuxième journée : les attaques de pirates informatiques sont multipliées par un million. Dans de nombreux pays, les services gouvernementaux sont toujours perturbés
PHP Foundation divulgue de nouvelles vulnérabilités qui n'ont pas encore été corrigées et fournit des solutions d'atténuation, mais ne publiera pas de nouvelles versions pour les corriger pour le moment
Commentaires