PHP sostiene el 70 % de la web con un solo empleado a tiempo completo
La fundación de PHP tiene una persona en nómina y catorce contratistas. Una falla grave descubierta con ayuda de IA mostró lo frágil que es ese pilar.
Cerca del 70 % de los sitios web usa PHP, según W3Techs. Xataka, en un artículo de Eva R. de Luis, recuerda que ese lenguaje está detrás de buena parte de la web, y que la organización que lo mantiene es mucho más pequeña de lo que se supondría.
Una fundación mínima
La directora ejecutiva de la fundación, Elizabeth Barron, explicó a Reuters que la organización tiene un solo empleado a jornada completa, ella misma, y catorce contratistas, la mayoría a tiempo parcial. La junta directiva es voluntaria y la financiación procede de donaciones y subvenciones. Barron describió a PHP como un proyecto increíblemente infrafinanciado.
La falla
Según Xataka, la fundación detectó en 2024 un fallo en una revisión de seguridad. No se conocía ningún ataque que lo aprovechara y era difícil de corregir, así que quedó pendiente. En 2026 la falla fue descubierta de nuevo desde fuera: la empresa Calif avisó el 11 de agosto, OpenAI llegó a ella de forma independiente y Wiz fue informada el día 24, tras cinco días de investigación.
El 20 de octubre se filtraron los identificadores de las dos fallas, por lo que el proyecto adelantó un día la publicación. El parche llegó al día siguiente.
Ataques e intentos
El director de Cloudflare dijo a Reuters que la empresa registró millones de intentos de ataque. Hasta ahora no hay evidencia de explotación antes de la divulgación ni en sitios ya parchados. Amazon señaló que sus sistemas señuelo detectaron un intento el 17 de octubre desde una dirección anonimizada; se trató de un sistema de prueba, no de un sitio real.
El papel de la IA
La inteligencia artificial ayuda a encontrar fallas que llevaban años en el código, pero también aumenta la carga de trabajo: el proyecto recibe casi el doble de propuestas de cambios que hace un año, sin que se haya duplicado el número de colaboradores.
Conclusiones
Primera: la infraestructura que usa media web depende de muy pocas personas pagadas. La brecha entre uso y financiación es el riesgo de fondo.
Segunda: la IA acelera el hallazgo de vulnerabilidades más rápido de lo que los proyectos pequeños pueden revisarlas y parcharlas. Hace falta dinero para revisores, no solo para detectores.
Tercera: para quien administra un sitio, la acción concreta es actualizar PHP en cada servidor. Esta nota no es asesoría de seguridad.
