A PHP Foundation, organização sem fins lucrativos que financia parte do desenvolvimento da linguagem PHP, afirmou que sua estrutura é pequena diante da importância do software para a internet. Em entrevista à Reuters publicada em 23 de outubro de 2026, a diretora-executiva Elizabeth Barron disse que a fundação possui uma funcionária em tempo integral — ela própria — e 14 profissionais contratados, em sua maioria em regime parcial.
A declaração ocorreu depois de duas vulnerabilidades graves do PHP mobilizarem equipes de segurança e operadores de sites em diferentes países. A discussão vai além das correções desta semana: quem paga para manter e proteger o código aberto usado por milhões de serviços?
Uma estrutura pequena para um componente muito utilizado
O PHP é uma linguagem usada por sistemas de publicação, aplicações empresariais e serviços web. Estimativas citadas pela Reuters apontam sua presença em uma parcela muito grande dos sites, potencialmente até cerca de 70%. Esse número depende da metodologia e não significa que 70% de todos os servidores ou aplicativos executem a mesma versão do PHP.
A fundação não é a única responsável pelo projeto: o PHP é mantido por uma comunidade internacional de desenvolvedores, com decisões técnicas tomadas em processos abertos. O papel da entidade é apoiar financeiramente profissionais, manutenção, correções de segurança e iniciativas de melhoria. Uma funcionária integral na fundação não equivale a apenas uma pessoa trabalhando no PHP.
Barron relatou que o conselho da entidade atua de forma voluntária e que a operação depende de doações e financiamentos. Sua avaliação é que a dependência de infraestrutura digital tão disseminada contrasta com os recursos disponíveis para sustentá-la.
O que os números da própria fundação mostram
O relatório de impacto e transparência de 2025 da PHP Foundation, publicado em maio de 2026, informa que a organização recebeu US$ 730.534 em contribuições de patrocinadores e doadores naquele ano. Foram 536 apoiadores registrados.
Segundo o documento, os profissionais financiados pela fundação foram responsáveis por aproximadamente 42% dos commits no núcleo do PHP em 2025, além de revisões, correções, desenvolvimento de ferramentas e trabalho de segurança. Ao final daquele ano, o grupo contava com 11 desenvolvedores contratados e uma diretoria executiva apoiada por patrocinador.
Esses dados descrevem 2025; a informação de 14 contratados, em sua maioria parciais, é o retrato relatado pela diretora em outubro de 2026. Não se deve somar os dois números nem apresentá-los como equipes independentes.
O relatório também esclarece que a fundação não controla a governança da linguagem: ela contribui para um projeto comunitário. Seu orçamento não representa todo o investimento mundial no ecossistema PHP.
Falhas críticas trouxeram a manutenção para o centro do debate
Em 21 de outubro, a equipe do PHP anunciou atualizações de segurança para corrigir as vulnerabilidades CVE-2026-109618 e CVE-2026-109619, que podem permitir execução remota de código em determinadas condições. As versões afetadas precisam ser atualizadas conforme os avisos oficiais.
A comunicação de segurança do projeto PHP orienta a instalação das versões corrigidas. O problema técnico, as versões e as medidas práticas estão detalhados na reportagem específica do AVATIX News sobre as duas falhas.
A Reuters informou que a fundação trabalhou com pesquisadores e empresas, incluindo OpenAI, Wiz e Calif, para investigar problemas e coordenar correções. Barron afirmou que a entidade não tinha evidências de exploração das falhas antes da divulgação, nem de comprometimento em sistemas já corrigidos. Isso é um relato sobre as evidências disponíveis à organização, não uma garantia universal de que nenhuma tentativa tenha ocorrido.
O episódio mostra a importância de equipes capazes de receber relatos, avaliar impacto, preparar patches e orientar administradores. Uma atualização lançada não resolve o risco automaticamente: os responsáveis por cada sistema ainda precisam aplicá-la.
Como a inteligência artificial muda o trabalho de quem mantém software
A diretora apontou um efeito duplo da inteligência artificial. Ferramentas de IA ajudaram pesquisadores a localizar falhas antigas, enquanto assistentes de programação tornaram mais fácil propor mudanças em grandes bases de código.
Mas gerar uma proposta não é o mesmo que aprová-la com segurança. Segundo Barron, o projeto PHP está recebendo quase o dobro de alterações propostas em relação a um ano antes, sem que o número de contribuidores tenha crescido na mesma proporção.
Revisar código exige compreender compatibilidade, desempenho, efeitos indiretos, testes e riscos de segurança. O volume maior de sugestões pode aumentar a fila de avaliação dos mantenedores, mesmo quando parte das contribuições é útil.
Essa observação não prova que toda a alta decorra exclusivamente de IA, nem que ferramentas de IA produzam necessariamente código inseguro. A declaração descreve uma pressão operacional percebida pela fundação, num contexto de adoção crescente dessas ferramentas.
O que muda para empresas, desenvolvedores e usuários
Para empresas que dependem de PHP, o impacto mais imediato continua sendo manter as versões suportadas e corrigidas, testar atualizações e acompanhar comunicados do projeto. Um firewall de aplicação pode ajudar em algumas situações, mas não substitui automaticamente um patch de segurança.
Para desenvolvedores e organizações que usam software livre, a entrevista chama atenção para outro aspecto: segurança depende de trabalho humano contínuo, inclusive quando o código está disponível gratuitamente. Patrocínios, contribuições revisadas, relatórios de falhas responsáveis e tempo dedicado à manutenção ajudam a sustentar esse trabalho.
Não há, na entrevista, anúncio de que o PHP será encerrado, de que suas atualizações deixarão de existir ou de que sites estejam necessariamente comprometidos. A notícia é um alerta de sustentabilidade: uma tecnologia amplamente utilizada pode contar com uma estrutura institucional relativamente pequena para apoiar sua evolução e sua segurança.
Documentos e fontes: entrevista da Reuters com a diretora, relatório oficial de transparência de 2025 e comunicado de segurança do PHP.
Imagem ilustrativa: arte dos elefantes do PHP criada por Camilo Sanchez / Wikimedia Commons, sob licença CC BY 3.0. Não é fotografia da equipe da PHP Foundation.
Fontes
Reuters (23/10/2026); The PHP Foundation (27/05/2026); PHP.net (21/10/2026) ↗
Reuters, entrevista com Elizabeth Barron: https://www.reuters.com/technology/php-foundation-under-funded-with-one-full-time-staff-member-director-says-2026-10-23/ | The PHP Foundation, relatório de transparência 2025: https://thephp.foundation/blog/2026/05/27/impact-and-transparency-report-2025/ | PHP, anúncio de atualização de segurança: https://www.php.net/archive/2026.php#2026-10-21-5 | Wikimedia Commons, Camilo Sanchez, CC BY 3.0: https://commons.wikimedia.org/wiki/File:Php_elephant_logo.svg