La fondation à but non lucratif qui s'occupe de PHP, un langage de programmation très vulnérable qui alimente jusqu'à 70 % des sites web dans le monde, ne compte qu'un seul employé à temps plein

Elizabeth Barron, directrice exécutive de la Fondation PHP, a révélé : « Nous avons un employé à temps plein (c'est moi) et 14 collaborateurs, pour la plupart à temps partiel ». Cette révélation intervient après la découverte de deux failles graves dans PHP, qui a déclenché une mobilisation mondiale d’urgence au sein des gouvernements et des entreprises. Ainsi, la Fondation PHP, une association à but non lucratif chargée de la maintenance et de la sécurité du langage, fonctionne avec un budget très restreint et une équipe réduite au minimum. Malgré ses effectifs réduits, la fondation coordonne directement ses efforts avec les grandes entreprises technologiques et des chercheurs en sécurité externes afin de trier les bogues logiciels et de mettre au point des correctifs défensifs.

Il y a quelque jours, l'équipe PHP a émis une alerte urgente concernant deux failles de sécurité critiques qui menacent des millions de sites Web dans le monde. Elles sont répertoriées sous les noms de CVE-2026-109618 et CVE-2026-109619, et évaluées à 9,2 sur 10 sur l'échelle de gravité. Une source a présenté un outil d'exploitation appelé PHP2Shell permettant d'exécuter du code à distance sur des serveurs vulnérables. Face à la menace de cyberattaques massives imminentes, les administrateurs sont invités à appliquer les correctifs en urgence. Un pan d'Internet est paralysé et les administrations publiques françaises ont mis leurs sites hors ligne par mesure de précaution.

Les responsables de la maintenance de PHP ont publié ensuite des correctifs d'urgence pour les deux vulnérabilités critiques. Ces failles affectaient PHP lui-même, qui alimente environ 70 % des sites web dans le monde, y compris des plateformes majeures telles que WordPress, Drupal et Joomla. Selon les chercheurs, le code vulnérable remonte à plus d'une décennie, et environ 1,3 million d'hôtes connectés à Internet seraient potentiellement exposés. PHP a publié les versions corrigées 8.5.12, 8.4.27, 8.3.36 et 8.2.35 le 21 octobre. OpenAI a également indiqué que des recherches en matière de sécurité menées avec l'aide de l'IA avaient permis d'identifier ces vulnérabilités.

En février 2026, Elizabeth Barron arrivait au poste de directrice générale de la Fondation PHP, à l’issue d’un processus de sélection rigoureux mené par le comité de recherche composé de Nils Adermann, Sebastian Bergmann, Lorna Mitchell et Ben Ramsey. Lors de son annonce, la Fondation PHP affirmait : « Elizabeth apporte une combinaison rare : un ancrage profond dans la communauté PHP et des compétences avérées en matière de gouvernance open source. Elle a cofondé une association à but non lucratif reposant sur le bénévolat et dédiée au soutien des femmes et des personnes non binaires dans le secteur du PHP ; elle a occupé le poste de responsable de communauté chez GitHub, où elle a dirigé des programmes de sensibilisation des développeurs, notamment l’initiative Patchwork ; et elle a été active au sein de CHAOSS, un projet axé sur les indicateurs de santé des communautés open source. »

Récemment, Elizabeth Barron, directrice exécutive de la Fondation PHP, a révélé : « Nous avons un employé à temps plein (c'est moi) et 14 collaborateurs, pour la plupart à temps partiel ». Barron a ajouté que les membres du conseil d'administration de la fondation sont tous des bénévoles non rémunérés, l'organisation comptant sur des subventions caritatives et des dons privés pour assurer son fonctionnement.


Cette révélation intervient après la découverte de deux failles graves dans PHP, qui a déclenché une mobilisation mondiale d’urgence au sein des gouvernements et des entreprises. Cet incident a mis en évidence l’immense dépendance d’Internet vis-à-vis d’un langage de programmation open source vieux de trois décennies. Pourtant, derrière ce logiciel qui sous-tend jusqu’à 70 % des sites web dans le monde se cache une organisation fonctionnant avec des ressources limitées. Ainsi, la Fondation PHP, une association à but non lucratif chargée de la maintenance et de la sécurité du langage, fonctionne avec un budget très restreint et une équipe réduite au minimum.

Malgré ses effectifs réduits, la fondation coordonne directement ses efforts avec les grandes entreprises technologiques et des chercheurs en sécurité externes afin de trier les bogues logiciels et de mettre au point des correctifs défensifs. Pour enquêter sur les dernières vulnérabilités et vérifier les correctifs d’urgence récemment publiés, la fondation a collaboré étroitement avec les laboratoires d’intelligence artificielle (IA) OpenAI, ainsi qu’avec les entreprises de cybersécurité Wiz (propriété de Google) et Calif.

Alors que le fournisseur d’infrastructure web Cloudflare a signalé des millions de tentatives de sondage automatisées à la suite de la divulgation publique, Barron a souligné que la fondation n’avait constaté aucune preuve indiquant que des attaquants aient réussi à exploiter ces vulnérabilités avant l’annonce, ni sur les systèmes ayant appliqué les mises à jour. « Nous n’avons reçu aucune autre indication de la part d’OpenAI, de Wiz ou de Calif, avec lesquels nous travaillons en étroite collaboration sur cette question, concernant d’éventuels problèmes sur les systèmes corrigés », a déclaré Barron.

L’essor rapide de l’IA s’est révélé être une arme à double tranchant pour la petite équipe chargée de la maintenance de PHP. D’une part, les outils d’IA ont constitué un atout essentiel, leurs modèles automatisés ayant aidé les chercheurs à mettre au jour les deux failles de sécurité, qui subsistaient discrètement dans le code depuis plus d’une décennie. Barron a reconnu que cette technologie avait également aidé les développeurs de logiciels à travailler plus efficacement.

D’autre part, l’IA a alourdi la charge de travail pesant sur les responsables de la maintenance. Le projet open source recevrait près de deux fois plus de propositions de modifications de code que l’année dernière. De plus, le nombre de contributeurs actifs chargés de réviser ce code n’a pas suivi le rythme de cette vague de propositions. L’évaluation des rapports de bogues, des pull requests et des suggestions automatisées nécessite toujours « une quantité considérable d’intervention humaine et d’expérience » pour vérifier la sécurité et la viabilité.


Après avoir publié les correctifs de ces vulnérabilités, la Fondation PHP a partagé un rapport où elle explique comment ces vulnérabilités ont été découvertes et corrigées, ce qui a changé dans la gestion de la sécurité de PHP au cours des deux dernières années, et ce que attendent les organisations qui dépendent de PHP pour que le travail de sécurité autour de PHP se poursuive. La Fondation PHP confirme notamment que le travail de sécurité sur PHP lui-même dépend encore d’un petit groupe de développeurs financés par la Fondation et d’un peu d’aide bénévole. C'est pourquoi, elle appelle au soutien financier de ceux qui dépendent de PHP.

Source : Elizabeth Barron, Directrice exécutive

Et vous ?

Pensez-vous que ce rapport est crédible ou pertinent ?
Quel est votre avis sur le sujet ?

Voir aussi :

Cloudflare détecte des millions de tentatives d'exploitation après la divulgation d'une faille PHP et déploie des mesures de protection contre la vulnérabilité PHP2Shell

La Fondation PHP recherche activement un nouveau directeur exécutif pour diriger sa mission de promotion du langage PHP, dans un contexte marqué par des lancements récents et une augmentation des parrainages

Les failles de sécurité détectées par l'IA ne s'avèrent pas plus faciles à exploiter, malgré le battage médiatique. Seulement 1,3 % d'entre elles font l'objet d'attaques réelles, selon une étude