PHP安全漏洞敲响警钟：支撑70%网站的PHP基金会仅1名全职员工

PHP安全漏洞近日引发全球互联网震动。据海峡时报2026年10月24日报道，PHP编程语言发现两处严重安全缺陷，触发全球数百万网站紧急修补。然而支撑该语言的PHP基金会却面临资金不足困境，执行董事伊丽莎白·巴伦透露，基金会仅有一名全职员工和14名兼职承包商，董事会成员均为无薪志愿者。

两处高危漏洞暴露互联网基础设施脆弱性

据网络安全公司云焰（Cloudflare）报告，漏洞披露后已检测到超过300万次黑客尝试。漏洞存在于PHP的CGI模块中，允许远程代码执行。2026年10月21日，PHP基金会与开放人工智能公司（OpenAI）、网络安全公司威兹（Wiz）及卡利夫（Calif）合作发布紧急补丁。巴伦表示：“我们未收到任何关于已修补系统出现问题的报告。”路透社援引欧盟网络安全机构消息，部分政府网站因漏洞被迫暂时下线，凸显互联网核心基础设施的脆弱性。

PHP基金会：支撑全球70%网站的非营利组织为何资金不足？

PHP语言诞生于1994年，至今约30年。据估计，全球高达70%的网站依赖PHP，包括政府门户、金融机构和社交媒体平台。但PHP基金会年度预算仅约40万美元，主要来自个人捐赠和企业资助。巴伦说：“我们收到足够的资金来维持当前运营，但无法扩大团队。我们有一名全职员工（就是我），还有14名兼职承包商。”她强调，基金会迫切需要更多企业赞助以保障长期安全。

人工智能的双刃剑：帮助发现漏洞却增加维护负担

人工智能工具帮助研究人员发现了这两处已存在十年的漏洞。但巴伦指出，PHP项目收到的代码修改建议数量相比一年前几乎翻倍，而贡献者人数并未增加。这给有限的团队带来巨大压力。“审查提案需要大量时间，而我们的人力资源极度有限。”她补充说，AI使程序员更高效，但也加速了代码变更速度。

全球修补行动：从政府网站到企业服务器的时间线

漏洞曝光后，各国政府紧急采取措施。路透社报道，新加坡、欧盟等多国网络应急团队发布警告。以下是关键事件时间线：

开源项目可持续性之问：谁为关键基础设施买单？

PHP基金会案例凸显开源软件普遍困境。许多互联网核心组件如Linux、Apache同样依赖志愿者和资金不足的非营利组织。巴伦呼吁大型科技企业提供持续支持。网络安全分析师约翰·陈（化名）表示：“如果PHP这样的语言得不到足够投资，下一次漏洞可能造成更大破坏。”法新社补充报道，全球企业每年因开源漏洞造成的损失达数十亿美元，而维护者的报酬却微乎其微。

资金缺口下的安全挑战：基金会能做些什么？

巴伦透露，基金会正尝试通过多种渠道增加收入：申请政府专项拨款、与云服务商建立合作伙伴关系、扩大企业会员计划。但目前，基金会仍无法聘请更多全职安全工程师。“我们非常感激开放人工智能公司和威兹在本次事件中的协助，但这不能替代持续的资金投入。”她表示，若资金到位，基金会将优先建立专职安全响应团队。

Q1: PHP安全漏洞如何影响普通用户？

A1: 尽管漏洞主要用于攻击服务器端，但用户访问受感染网站可能导致个人数据泄露或恶意软件植入。建议网站管理员立即应用2026年10月21日发布的补丁；普通用户应保持浏览器和系统软件更新，避免点击可疑链接。

Q2: PHP基金会如何改善资金状况？

A2: 基金会正寻求更多企业赞助和捐赠，同时呼吁大型科技公司（如云服务商、电商平台）为关键开源基础设施提供持续资金支持。巴伦呼吁社区贡献者参与代码审查，以分担维护压力。

PHP安全漏洞敲响了开源项目资金枯竭的警钟。当全球数字世界如此依赖一群资源有限的维护者时，任何一次漏洞都可能引发连锁崩溃。唯有产业、政府和社区共同行动，确保PHP基金会获得足够资源，互联网的根基才能更加稳固。