近期，PHP 语言曝出的安全漏洞再次将开源软件维护资金短缺的问题推至台前。尽管人工智能驱动的漏洞挖掘工具揭示了诸多关键隐患，但 PHP 基金会目前的资源配置显得捉襟见肘：该组织仅拥有一名全职员工，其余核心成员由 14 名“大部分兼职”的承包商组成。
核心团队规模与运作模式
在接受路透社采访时，PHP 基金会执行主任伊丽莎白·巴伦（Elizabeth Barron）证实，她是团队中唯一的专职人员。该团队的主要职责涵盖 PHP 核心的开发、维护以及安全修复工作。这种依赖全球贡献者的协作模式在 Linux 内核开发中也较为常见，不同之处在于 Linux 项目拥有更完善的人员管理体系，包括大量全职贡献者及受雇于企业的开发人员。
尽管 PHP 基金会与多家企业及网络安全公司保持合作，但在面对借助 AI 代理迅速增加的安全漏洞报告时，开发团队仍显力不从心。值得注意的是，在官方发布安全修复版本之前，并未有 PHP2Shell 漏洞被实际利用的报告出现。
结构性失败与响应滞后
资金不足可能导致解决潜在漏洞出现“结构性失败”。以导致 2026 年相关问题的存储状态（OOM）为例，该问题早在 2024 年便已被发现。鉴于 PHP 极高的普及率及其庞大的第三方扩展生态，解决 OOM 问题的进程曾陷入停滞并反复重启。此外，Chainguard 安全公司意外提前披露 PHP2Shell 禁运信息，进一步加剧了应对工作的复杂性。
伊丽莎白·巴伦指出：“如果没有基金会的资金支持，不可能安排多人全职投入此问题，最终只能依靠周末和全天候与其他相关方进行协调沟通。”业界期望此次事件能促使依赖 PHP 生存的企业增加对基础开发的资金投入。
用户侧升级惰性成主要风险
然而，安全隐患不仅源于核心代码缺陷，更在于部署环境的滞后。理论上，运行 8.x 版本的服务器应在几分钟内完成升级，但现实情况严峻：
- 近 73% 的 PHP 安装版本已超出使用期限，导致获取修复补丁变得困难；
- 许多 Linux 发行版仅提供后端修复程序，未能彻底解决前端兼容性问题；
- 大量服务器仍在运行已于四年前完全淘汰的 PHP 7 版本；
- 约 7.7% 的 PHP 网站甚至仍在使用 PHP 5.x 版本。
从 PHP 5 迁移至 PHP 7，再升级至 PHP 8，均需要修改网站代码。这一过程主要涉及放弃对古老功能和库的支持，同时引入有助于澄清易出错代码的新语法。总体而言，当前局势表明，行业内的自满情绪、开发惰性以及成本削减压力，其影响力远超一群 AI 机器人寻找缺陷的能力。
