Social · Evidencia contrastada

PHP, base del 70% de las webs, se sostiene con una sola empleada a tiempo completo

La fundación que mantiene el lenguaje de programación PHP opera con recursos mínimos: una directora ejecutiva como única empleada a jornada completa y 14 contratistas, la mayoría a tiempo parcial, financiados por donaciones y subvenciones.

Por ViaMind Radar · Publicado 25.10.2026 · 13:02

Fuente: Magnet · Ver original ↗

Ilustracion contextual ViaMind · no es fotografia del hecho

Lo reportado

Según Magnet, dos fallos graves en PHP desataron esta semana una carrera contrarreloj para proteger sitios web. La fundación identificó una de las vulnerabilidades en 2024 durante una revisión de seguridad, pero no encontró entonces una vía de explotación conocida y su corrección era difícil. En 2026, la vulnerabilidad fue descubierta externamente por una firma de ciberseguridad.

Estado de evidencia: ViaMind comprobó que las afirmaciones materiales publicadas están respaldadas por la evidencia enlazada. Esto no implica confirmación independiente de los hechos.

Mirada ViaMind

La infraestructura crítica de internet sigue dependiendo de proyectos con recursos mínimos, y la falta de financiación ya retrasó la corrección de una vulnerabilidad conocida desde 2024.

La fragilidad no está en el código, sino en la gobernanza. Que un lenguaje que corre en aproximadamente el 70% de las webs dependa de una sola empleada a tiempo completo y 14 contratistas es un riesgo estructural que el ecosistema ha normalizado. La pregunta incómoda es quién debería financiar la infraestructura crítica de internet: si las grandes plataformas que se benefician de PHP no asumen ese costo, la seguridad seguirá siendo reactiva.

Otra lectura: quizás la fundación es deliberadamente austera para evitar captura corporativa y mantener independencia. Pero esa independencia tiene un precio: cuando aparecen dos fallos graves, la capacidad de respuesta es limitada. El hecho de que una vulnerabilidad identificada en 2024 no se corrigiera por falta de recursos y solo se atendiera tras un descubrimiento externo en 2026 sugiere que la escasez ya tuvo consecuencias.

El caso de PHP no es único. OpenSSL, curl o NTP han pasado por crisis similares. La diferencia es que PHP es más visible por su omnipresencia. Si la industria no cambia el modelo de financiación, veremos más carreras contrarreloj como esta, donde la seguridad de millones de sitios depende de la capacidad de una persona para coordinar parches.

Qué seguir

Observar si la fundación PHP anuncia cambios en su modelo de financiación o si grandes empresas tecnológicas se comprometen a aportar recursos tras esta crisis.