要約:
オープンソース プログラミング言語 PHP のメンテナンスは、深刻なリソース不足に直面しています。 PHP は約 30 年にわたって開発され、世界中の多数の Web サイトの運営をサポートしていますが、この言語の開発支援を担当する非営利団体である PHP Foundation は、長い間資金不足にさらされてきました。同財団のエグゼクティブディレクター、エリザベス・バロン氏は最近、同財団の常勤職員は現在1名のみで、残りの業務は主にパートタイムの請負業者、寄付金、補助金によって維持されていると明らかにした。
バロン氏はロイターとのインタビューで、財団には現在フルタイムのスタッフが1人しかおらず、他に主にパートタイムの請負業者が14人いると語った。財団の理事会のメンバーは全員ボランティアとして職務を遂行しており、報酬は受け取っていません。この団体の運営資金は主に企業や個人からの寄付や、さまざまな資金調達プロジェクトによって賄われています。
PHP は、インターネット インフラストラクチャで最も広く使用されているプログラミング言語の 1 つです。関連する推定によると、世界中の Web サイトの 70% が程度の差こそあれ PHP を使用している可能性があります。この言語は、Web サイトのバックエンド、コンテンツ管理システム、電子商取引プラットフォーム、およびさまざまなネットワーク サービスで広く使用されています。したがって、そのセキュリティと安定性は開発者だけでなく、企業、政府機関、一般のインターネット ユーザーにも影響を与えます。
最近発生した 2 つの重大なセキュリティ侵害により、PHP メンテナンスの実際的な重要性がさらに浮き彫りになりました。今週、研究者らは 2 つの重大な脆弱性を発見し、ヨーロッパ全土の Web サイト運営者が緊急にシステムをチェックし、セキュリティ パッチをインストールするよう促しました。リスクが制御されるまで運営者が保護措置を講じることができるよう、一部の政府 Web サイトは一時的にオフラインになりました。
PHP Foundation は、外部の研究者や、OpenAI やサイバーセキュリティ企業の Wiz や Calif などの複数の企業と協力して、これらの脆弱性を調査し、修正を調整しています。関連するパッチが今週リリースされました。サイバーセキュリティ企業Cloudflareは、関連インシデントが数百万件のハッキングの試みを引き起こしたと報告した。しかし、バロン氏は、財団には現時点で、攻撃者がこれらの欠陥が公に公開される前に悪用に成功したという証拠はなく、パッチが適用されたシステムが悪用されたというさらなる報告は関連パートナーから受け取っていないと述べた。
これらの脆弱性は約 10 年前から存在しており、最近になって発見されたものであることは注目に値します。人工知能テクノロジーは、このプロセスにおいて 2 つの役割を果たします。一方では、研究者が潜在的なセキュリティ問題を特定するのに役立ち、プログラマーの作業効率が向上します。その一方で、AI ツールはコード変更を送信するためのしきい値も下げるため、メンテナンス チームはより多くのコード変更やエラー レポートを処理する必要があります。
バロン氏によると、PHP プロジェクトには現在、1 年前の 2 倍近くのコード変更提案が寄せられていますが、貢献者の数が同時に 2 倍になったわけではありません。これは、保守者がコードのレビュー、問題レポートの分析、提出された変更によって新たな脆弱性が導入されるか、既存の機能が破壊されるかどうかの判断に、より多くの時間を費やす必要があることを意味します。 AI はプログラミングを支援できますが、コード レビューには依然として人間の多大な入力と専門的な経験が必要であり、自動化ツールだけで達成することはできません。
オープンソース プロジェクトの場合、コードが一般公開されているからといって、そのメンテナンスがすべてボランティアによって完了できるわけではありません。特に、多数の商用システムや公共サービスで使用されている PHP のような基本ソフトウェアの場合、一見小さな欠陥が多数の Web サイトに影響を与える可能性があります。メンテナンス チームは、言語自体を継続的に改善する必要があるだけでなく、セキュリティ ホール、互換性の問題、バグ レポート、開発者によって提出された変更にも対処する必要があります。
PHP Foundation が直面しているジレンマは、オープンソース ソフトウェア エコシステムにおける長期的な問題も反映しています。つまり、ソフトウェアの使用範囲が、メンテナが利用できるリソースと必ずしも一致するとは限りません。企業や政府機関は PHP を通じて重要なビジネス システムを構築および運用できますが、基盤となる言語のメンテナンスは限られたチームと不安定な寄付や資金源に依存する可能性があります。安全上の問題が集中的に発生すると、限られた人員が多大な仕事のプレッシャーにさらされる可能性があります。
バロン氏は、企業や政府のシステムで PHP が広く使用されていることを考慮すると、財団が現在受け取っているリソースでは明らかに不十分であると考えています。 AI ツールによってコードの提出数が増加し続ける中、資金源を拡大し、専門のメンテナンス担当者を追加し、セキュリティ問題にタイムリーに対処できるようにする方法が、PHP エコシステムが直面する必要がある重要な問題になります。
この事件はまた、オープンソース ソフトウェアにはコストがかかることを業界に改めて思い出させました。ユーザーはソフトウェアを無料で入手して使用できますが、長期的なセキュリティ保守、バグ修正、ソフトウェアのバージョン更新には、依然として資金と専門的な人材の継続的な投資が必要です。多数のインターネットサービスをサポートする基本的なプログラミング言語にとって、その実際の影響力に見合った保守メカニズムの確立は、開発者コミュニティ内の問題だけでなく、インターネットインフラストラクチャ全体のセキュリティと信頼性にも関係します。
関連記事:
PHP の致命的な脆弱性が蔓延し、世界の Web サイトの 70% が脅威にさらされ、多くの企業が一夜にして「オフライン」になりました
PHP 脆弱性危機は 2 日目に突入: ハッカー攻撃は 100 万回に急増 多くの国で依然として政府サービスが中断されている
PHP Foundation は、まだ修正されていない新しい脆弱性を公開し、軽減策を提供しますが、当面はそれらを修正する新しいバージョンをリリースしません
コメント