# La fundación de PHP opera con una sola persona fija

> La entidad que sostiene el lenguaje usado en millones de sitios apenas tiene una empleada a tiempo completo. La reciente alerta de seguridad volvió a exhibir su fragilidad.

Por Kilder F.O. · 25 de octubre de 2026 · Tecnología

![Vista detallada de código informático con la sintaxis resaltada en colores en una pantalla.](https://cdn.panorama.onl/uploads/45c6a73ebf76c16e.webp)

PHP, el lenguaje que sostiene una parte enorme de la web, volvió a quedar bajo presión esta semana tras la divulgación de dos fallos graves. En medio de esa carrera por parchear servidores, Elizabeth Barron, directora ejecutiva de la fundación que coordina el proyecto, dijo a Reuters que la organización funciona con una sola empleada a tiempo completo: ella misma.

## Una estructura mínima para un software masivo

Según [W3Techs](https://w3techs.com/technologies/details/pl-PHP), PHP está presente en aproximadamente el 70% de las webs para las que se conoce el lenguaje de servidor. Pese a ese peso, Barron explicó que la fundación opera con 14 contratistas, en su mayoría a tiempo parcial, mientras la junta trabaja de forma voluntaria y la financiación llega por donaciones y subvenciones.

La propia Barron resumió el problema con una frase tajante: PHP está “increíblemente infrafinanciado”. El contraste entre su alcance y su estructura interna deja al proyecto en una posición delicada, sobre todo cuando la respuesta a una vulnerabilidad no depende de un simple complemento, sino de actualizar PHP en cada servidor sin romper compatibilidades con aplicaciones y extensiones.

## Vulnerabilidades, parches y trabajo acumulado

El problema de seguridad no surgió de la nada. La fundación [identificó](https://therecord.media/php-foundation-statement-critical-vulnerabilities) una de las vulnerabilidades en 2024 durante una revisión interna, aunque entonces no encontró una vía de explotación conocida y su corrección era difícil. En 2026, el hallazgo llegó también desde fuera: la firma Calif avisó al equipo el 11 de agosto, OpenAI detectó el caso por su cuenta y [Wiz](https://www.wiz.io/blog/php2shell-php-rce) informó a la fundación el 24 de agosto, tras cinco días de investigación.

El 20 de octubre se filtraron los identificadores de los dos fallos y el proyecto adelantó un día la publicación, como recoge [Simon Willison](https://simonwillison.net/2026/Oct/21/php-security-release/). Un día después llegó el parche. Después, Cloudflare registró millones de intentos de ataque, según contó su CEO a Reuters. Barron afirmó que la fundación no tiene evidencia de que alguien explotara esas fallas antes de su divulgación ni en sitios ya corregidos.

La directora también señaló que la inteligencia artificial ayuda a encontrar errores y a acelerar el trabajo de programación, pero al mismo tiempo eleva la carga de revisión sobre un equipo reducido. El proyecto, dijo, está recibiendo casi el doble de propuestas de cambio de código que hace un año, sin que haya crecido en igual proporción el número de colaboradores.

Claves

- La fundación de PHP funciona con una sola empleada a tiempo completo, según Elizabeth Barron.

- W3Techs estima que PHP está presente en aproximadamente el 70% de las webs para las que se conoce el lenguaje de servidor.

- Los dos fallos fueron divulgados el 20 de octubre y el parche llegó al día siguiente.

- Barron dijo que el proyecto recibe casi el doble de propuestas de cambio de código que hace un año.

---

**Fuente:** https://panorama.onl/tecnologia/la-fundacion-de-php-opera-con-una-sola-persona-fija-20261025-0425.html
Publicado por Panorama Online — contenido de libre lectura; se permite citar con atribución y enlace a la URL original.