23 октября Reuters опубликовал интервью с директором PHP Foundation Элизабет Бэррон (Elizabeth Barron). Повод понятный: на той же неделе вышли патчи к двум серьёзным дырам в PHP, и мир снова вспомнил, насколько язык держит сайты. Бэррон в письме корреспонденту сказала прямо: «у нас один штатный сотрудник (это я) и 14 в основном частичных подрядчиков». Члены совета директоров работают без оплаты, деньги фонд берёт из пожертвований и грантов. Итог её формулировки: при такой зависимости PHP «невероятно недофинансирован» (incredibly under-funded).
Кто вообще в PHP Foundation
На странице Structure фонда сейчас в блоке Staff две фамилии: Элизабет Бэррон как Executive Director и Бен Маркс (Ben Marks) как Director of Fundraising. Совет директоров отдельно: там ветераны PHP и представители спонсоров, и сайт прямо пишет, что членов совета фонд не оплачивает. Разработку языка тянут контрактные инженеры: на той же странице фонд пишет, что контрактует 13 инженеров на полную и частичную занятость. Цифра «14 подрядчиков» у Бэррон в Reuters и «13» на сайте близки; важно другое: ядро языка, которым пользуются миллионы сайтов, держит узкая платная команда плюс волонтёрский совет.
Цифры из отчёта за 2025
В мае 2026 Бэррон опубликовала Impact and Transparency Report 2025. По нему спонсоры и частные доноры в 2025 пожертвовали $730 534, после комиссий фонд получил $645 191, а расходы составили $784 376. Разрыв около $139 000 фонд называет сознательным: держали технический штат подрядчиков, пока чинили отношения со спонсорами. Спонсоров и доноров было 536, меньше, чем годом раньше. В отчёте же фонд пишет, что около 42% коммитов в ядро PHP за 2025 сделали его контракторы. На 2026 среди целей: свести расходы с поступлениями и выстроить нормальный фандрайзинг.
Почему это важно после PHP2Shell
На той же неделе, о которой говорит Reuters, вышли срочные обновления PHP из-за двух дыр с удалённым запуском кода. Мы разбирали сами уязвимости и версии для обновления в посте про RCE в PHP, а предупреждение НКЦКИ и требование срочно обновиться или отключать серверы: в заметке про PHP2Shell.
По словам Бэррон, фонд как раз координировал разбор и патчи вместе с внешними исследователями и компаниями, среди них OpenAI, Wiz и Calif. Параллельно нагрузка на мейнтейнеров растёт: предложений правок кода почти вдвое больше, чем год назад, а число контрибьюторов не удвоилось. Проверять чужие патчи и баг-репорты по-прежнему нужно людям с опытом. Получается простой расклад: язык, на котором крутится до 70% сайтов в мире (оценка из материала Reuters), зависит от фонда с одним штатным сотрудником и небольшой контрактной командой. Когда вылезает критическая дыра, именно эта команда должна быстро собрать патч, а админы потом бегут обновляться.
Для тех, у кого на сервере PHP, из этого мало морали и много практики: обновления выходят, потому что кто-то их собирает и сопровождает. Фонд просит спонсоров и доноров; без ресурсов цикл «дыра → патч → релиз» становится тоньше. После PHP2Shell это уже не абстрактная история про open source, а вопрос, хватит ли людей на следующий такой раунд.
