
Stefan Esser, znany specjalista od bezpieczeństwa PHP, odszedł z grupy PHP Security Response Team
zajmującej się bezpieczeństwem PHP.
Przyczyną rezygnacji był brak perspektyw na możliwość uczynienia
PHP bezpieczniejszym. Esser rozczarował się postawą programistów,
którzy ignorowali jego uwagi na temat najprostszych nawet błędów.
Zaowocowało to wieloma dziurami umożliwiającymi zdalne wykonanie
kodu. Ponadto próby krytyki bezpieczeństwa PHP spotykały się
negatywnymi reakcjami Security Response Team. Esser będzie
kontynuował swoją pracę nad bezpieczeństwem PHP na własną rękę.
Zamierza publikować raporty na temat odkrytych przez siebie dziur
bez względu na to, czy deweloperzy przygotują poprawkę czy nie.
Oczywiście otrzymają oni na to odpowiednią ilość czasu.
Z punktem widzenia Stefana Essera nie zgadza się Zeev Suraski,
który twierdzi, że większość problemów wynika z braku doświadczenia
użytkowników PHP, niepotrafiących pisać bezpiecznego kodu. Jest w
tym sporo racji, jednak błędy są też samej implementacji PHP. Nad
jego bezpieczeństwem według Essera tak naprawdę pracują tylko trzy
osoby. Poprawki pojawiają się zbyt późno i są niewystarczająco
dokładnie testowane. Przykładowo obecnie w CVS znajdują się
poprawki, na które użytkownicy czekają od sześciu miesięcy.
Aktualizacja, 15.12.2006, 02:32
Zeev Suraski zdementował informacje jakoby zrzucał odpowiedzialność
na niedoświadocznych webmasterów korzystających z PHP. Zaznaczył,
że nie neguje istnienia dziur w PHP.