PHP財団の常勤職員は1人だけ　ウェブの7割を支える台所が、けっこう苦しい

先週、世界中のサーバー担当者がいっせいに更新作業に追われた。10月21日、PHPの開発チームが修正版を4つ、一気に出したからだ。8.5.12、8.4.27、8.3.36、8.2.35。PHPに、サーバーを乗っ取られかねない穴が2つ見つかった。番号はCVE-2026-109618とCVE-2026-109619。CVSSで9.2が付いた。

騒ぎの大きさは、Cloudflareのマシュー・プリンスCEOがXに出した数字で分かる。公表前の10時間で数千件。公表から45分で数万件。2時間で数十万件。そのあと数百万件。穴を狙う攻撃通信の数だ。

で、この土台を直している人は、何人いるのか。

常勤は1人、あとは非常勤14人

PHP財団の事務局長エリザベス・バロンさんが、ロイターにこう答えた。「常勤職員は1人（それが私だ）で、あとはほとんどが非常勤の委託者14人」。理事は無給のボランティアだ。お金は寄付と助成金で回している。

PHPは、世界のサイトの最大7割で使われている。バロンさんは、これだけ頼られているのだからPHPがとんでもなく資金不足なのは明らかだ、と話した。

財団が自分で公開している2025年の報告書を開くと、金額が出ている。1年に集まった寄付は73万534ドル（約1億1,500万円）。オープンソースの資金をあずかる団体への手数料などで8万5,343ドル（約1,350万円）が引かれ、手元に残ったのは64万5,191ドル（約1億円）。一方で、1年の支出は78万4,376ドル（約1億2,400万円）だった。

差額は約2,200万円の赤字になる。財団は、技術者の人数を減らさないための意図的な選択だったと書いている。蓄えはあり、つぶれる話ではないという。ただ「この差を縮めるのが2026年の課題」とも書いてある。2025年に支援したのは536の会社と個人で、前の年よりかなり少ないそうだ。

穴の見つかり方は、ここ数年で変わった。財団の説明では、8月11日にセキュリティ会社のCalif、8月24日にWiz、9月18日にOpenAIが、それぞれ別の攻め口を報告している。見つかる速さは上がった。直す側の人数は、そのままだ。財団は10月21日の記事で、PHP本体の安全を守る作業は「いまも、財団が費用を出している少人数の開発者と、わずかなボランティアの助けに頼っている」と書いた。しかも直しが遅れた理由を「構造的な失敗」と自分で認めている。全員の合意で決めるやり方のせいで、2つの直し方のどちらを採るか決めきれなかったという。

ネットの評判

はてなブックマークでは、この話に87人がブックマークを付けた。目立つのは、使っている会社が払うべきだという声だ。あるユーザーは、財団の支援企業に日本の会社も名を連ねていることを挙げ、恩恵を受けている側がもっと出すべきだと書いた。実際、2025年の主な支援企業にはサイボウズが入っている。

OpenSSLも世界中で使われているのにほとんどボランティアで支えられていた、と並べる声もある。ITの基盤は市場の失敗だから国が金を出すべきだ、という意見も出た。「ウェブの世界はぶっちゃけ善意で成り立っていたけどAIがいよいよ終わらせそう」という書き込みもあった。

海外でも割れている。技術系の掲示板Slashdotの同じ話題には186件の書き込みが付いた。大手なら年300万ドル（約4億7,400万円）くらいは誤差のはずで、なぜ出さないのか、という意見。金より組織の作り方の問題で、資金不足は原因ではなく症状だ、という意見。どちらも出ている。

プラチナ会員が8社増えれば、1年ぶん出せる

では、だれがいくら払うのか。財団のページには値段が書いてある。シルバーが年1万2,000ドル（約190万円）、ゴールドが年2万4,000ドル（約380万円）、プラチナが年10万ドル（約1,580万円）。

プラチナ会員が8社増えれば、2025年の支出78万4,376ドルを、まるごと1年ぶん出せる。世界のサイトの7割が動いている土台の、いまの値段がそれだ。