Op 20 oktober kondigde het PHP-project twee kritieke kwetsbaarheden aan in PHP zelf, inmiddels bekend als PHP2Shell. Een dag later lagen de patches er. In de tussentijd haalden hostingpartijen uit voorzorg complete klantomgevingen offline en gaf CERT-EU, de cybersecuritydienst van de EU-instellingen, een eigen waarschuwing uit. Opnieuw werden we geconfronteerd met onze afhankelijkheid van één technologie: PHP draait op ruim 70 procent van alle websites waarvan bekend is welke server-side programmeertaal ze gebruiken (W3Techs, augustus 2026).
Als “digitale onafhankelijkheid” niets mag kosten
Een open sourceoplossing waar een groot deel van de Nederlandse overheid op leunt voor haar aanwezigheid op internet, krijgt van geen enkele Europese overheid noemenswaardige steun, behalve van Duitsland. We hebben een Nederlandse tegenhanger van de Duitse Sovereign Tech Agency nodig: een overheidsorganisatie die in kaart brengt welke open sourceoplossingen de overheid gebruikt, en een fonds waaruit de communities achter die oplossingen structureel worden gesteund.
De PHP Foundation schrijft zelf dat fondsenwerving steeds lastiger wordt
"Het bedrijf achter PHP"
In de pers werd “het bedrijf achter PHP” geroemd om de snelle reactie. Maar achter PHP zit geen bedrijf zoals wij dat kennen. PHP is een communityproject, en de belangrijkste financier van het kernwerk is de PHP Foundation: een stichting zonder winstoogmerk met 8 bestuursleden (vrijwilligers), een directeur die door JetBrains wordt gesponsord en 11 ontwikkelaars die part- of fulltime onder contract werken. Die elf schreven in 2025 ruim 40 procent van alle commits in de kern van PHP. De rest komt van enkele tientallen andere bijdragers, van wie velen onbetaald.
Omdat de geldstromen via Open Collective lopen, zijn ze openbaar. In 2025 ontving de Foundation $730.534 van 536 organisaties en personen (Impact and Transparency Report 2025, 27 mei 2026). Het bedrag lag iets hoger dan in 2024, maar het aantal sponsors daalde fors en de uitgaven waren zo’n $139.000 hoger dan de inkomsten. De Foundation schrijft zelf dat fondsenwerving steeds lastiger wordt.
Wie die sponsors zijn, is veelzeggend. Sinds de oprichting eind 2021 haalde de Foundation ruim $3 miljoen op. Twee partijen zijn samen goed voor meer dan 40 procent daarvan: Automattic ($762.500), het Amerikaanse bedrijf achter WordPress.com, en softwarebedrijf JetBrains ($476.670). Daarna wordt het snel dun. De meeste andere grote sponsors zijn gespecialiseerde bedrijven uit het PHP-ecosysteem zelf, met bijdragen van enkele tienduizenden dollars over meerdere jaren. Geen Big Tech, geen grote multinationals en, op één na, geen overheden.
Sovereign Tech Agency
Die ene uitzondering is de Sovereign Tech Agency, een Duits overheidsfonds dat sinds 2024 ruim $214.000 bijdroeg, onder meer voor een security-audit van PHP. Van de vijftien grootste sponsors van 2025 zijn er acht Europees, waarvan vier Duits. Zes komen uit de Verenigde Staten en één uit Japan. Geen enkele Nederlandse overheidsorganisatie staat in het rijtje.
Financiering maakt de overheid tot een serieuze gesprekspartner en laat het zien dat je open source echt naar waarde schat
En dat terwijl overheden de mond vol hebben van open source als bouwsteen voor digitale autonomie en soevereiniteit. Op 1 oktober nog ondertekenden de provincies, de VNG, de Rijksoverheid en SURF in Middelburg de OSPO-Overeenkomst, waarin ze uitspreken samen werk te maken van open source en digitale soevereiniteit. Drie weken later werkte een handvol mensen zich het bloed onder de nagels vandaan om patches te leveren, waarna talloze organisaties die nooit een cent hebben bijgedragen hun websites weer opstartten en vrolijk verdergingen. Binnen open source communities heet dat free riding. Meeliften mag ook.
Het kan anders, en Duitsland laat zien hoe. Ik wil een lans breken voor een Nederlandse tegenhanger van de Sovereign Tech Agency: een overheidsorganisatie die in kaart brengt welke open sourceoplossingen de overheid gebruikt, en een fonds waaruit de communities achter die oplossingen structureel worden gesteund. De OSPO’s die nu worden opgezet, zijn daarvoor de logische plek. Maar zolang daar geen budget aan hangt voor de projecten waar we zelf op leunen, blijft het bij intenties.
Financiering koopt geen zeggenschap over PHP, en dat hoort ook zo. Wel maakt het de overheid tot een serieuze gesprekspartner, geeft het ruimte om eigen mensen te laten bijdragen en laat het zien dat je open source echt naar waarde schat. Bovendien wordt eindelijk zichtbaar wat onafhankelijkheid kost. Want belijden dat open source onmisbaar is en ondertussen leunen op wat Amerikaanse bedrijven en de Duitse belastingbetaler betalen, dat kan natuurlijk niet.
PHP Foundation: onvoldoende geld en onderbezetting
Wereldwijd zijn organisaties afhankelijk van de continue ontwikkeling en beveiliging van PHP. Er zijn echter relatief weinig krachten beschikbaar om de mensen die PHP onderhouden te ondersteunen. De PHP Foundation is voor het uitvoeren van haar werkzaamheden afhankelijk van donaties en subsidies. Executive Director Elizabeth Barron is de enige vast aangestelde werknemer. Zij wordt ondersteund door 14 freelancers die grotendeels parttime werken.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.