PHP 安全漏洞频发：基金会仅 1 名全职员工，人手和资金短缺是罪魁祸首

过去一年多来，AI 驱动的软件漏洞报告激增，让开源软件长期资金匮乏的严峻现实暴露无遗。PHP 是最新的受波及项目，这种为约 71% 网站提供动力的脚本语言，正因其存在一个关键的远程代码执行漏洞而登上新闻头条。据报，负责开发和监管该语言的 PHP 基金会全职员工仅有 1 人，另有 14 名“大部分为兼职”的合同工。虽然这种情况已足够糟糕，但真正的隐患更深：互联网的粗放开发惯例和系统管理方式让问题雪上加霜。 PHP 基金会执行董事伊丽莎白·巴伦在接受《路透社》采访时直言不讳：她是团队中唯一的全职人员，依靠合同工的协助开展工作。在软件本身方面，团队职责是开发和维护 PHP 核心，其中包括处理安全补丁。核心团队接受来自全球的代码贡献，这种模式与 Linux 内核开发颇为相似——区别在于，内核项目的人力资源远为充裕，拥有众多全职贡献者和企业雇佣的开发者。 自然地，PHP 基金会与其他公司及众多网络安全企业有合作，但在 AI 智能体助力下安全漏洞数量激增之前，开发团队的人力就已经捉襟见肘了。不过巴伦指出，在安全补丁发布之前，尚未发现有关 “PHP2Shell” 漏洞被实际利用的报告。

但资金不足的更深层影响，大概率导致了应对潜在漏洞的结构性失败，未能及时修复。最终引发 2026 年多次漏洞利用的内存溢出（OOM）问题，早在 2024 年就被发现了。鉴于 PHP 的普及程度以及第三方扩展的庞杂数量，修复 OOM 的工作在数月间“反复停滞又重启”。更具破坏性的是，安全公司 Chainguard 意外地过早泄露了 PHP2Shell 漏洞的保密期限。

即便如此，团队仍然对现有资金心怀感激。因为“如果没有基金会的资助，不可能让多人全职投入此问题，最终甚至周末和全天候协调沟通。”人们只能希望，这次事件能促使更多依赖 PHP 谋生的企业解开钱包。

然而，问题远比核心语言本身的 bug 更为严重——那些 bug 其实只差一个点版本更新。理论上，运行当前 8.x 版本的任何服务器都应该能在几分钟内完成补丁升级，但现实远非如此：许多网站因恐惧被利用而宕机数小时甚至数天。

真正的难题终于显露：近 73% 的 PHP 安装实例仍在运行早已超出生命周期（EOL）的旧版本，使得获取修复变得极为困难。数十年来，包括笔者在内的许多从业者都在警告这一危机，尽管一些 Linux 发行版还在为旧版本回移补丁。