PHP基金会仅1名全职员工协调修复两大严重漏洞

PHP基金会执行董事Elizabeth Barron表示，该组织仅有1名全职员工（即她本人）与14名多为兼职的承包人员，董事会成员为无薪志愿者，资金来自捐赠与补助。

该基金会本周协调修复两个严重PHP漏洞（合称PHP2Shell，CVE-2026-109618与CVE-2026-109619），可导致未认证远程代码执行。PHP可能支撑全球高达70%网站，欧洲等地部分政府网站因紧急修补而短暂下线。

基金会与OpenAI、Wiz及Calif等外部机构合作调查并发布补丁。Cloudflare报告数百万次攻击尝试，但基金会称无证据显示漏洞在公开前被利用，或已修补系统遭成功利用。

AI相关代码贡献使基金会工作量翻倍，审查需大量人工经验。基金会称，鉴于企业与政府对PHP的高度依赖，该项目“资金严重不足”。部分公开记录显示年度预算约97.3万美元。

一个相关漏洞迹象早在2024年被发现，但因资源与决策流程问题延迟处理，基金会将其称为结构性失败。补丁于周三发布，用户被强烈建议立即更新。

市场机制方面，全球网站与政府服务依赖开源基础组件，维护成本由少数非营利组织与志愿/兼职人员承担。受益方为使用PHP的企业与政府（获得免费安全补丁），承压方为资源有限的维护基金会，资金缺口在高风险事件中被放大。

来源：公开信息

ABAB AI 解读

PHP基金会成立于近年，旨在为已有30年历史的PHP语言提供可持续资金与开发支持。历史上核心维护依赖志愿者与有限赞助，2024年外部审计曾发现相关迹象但未形成可利用路径，处理延迟被基金会称为结构性失败。

资本路径上，资金主要来自企业赞助与个人捐赠，用于支付少数承包开发者的安全与维护工作。本次事件中，基金会协调OpenAI、Wiz等外部安全资源完成补丁，但自身全职人力仅1人，显示维护能力高度依赖外部合作与有限预算。

这类似于其他关键开源项目（如部分Linux发行版或早期OpenSSL）在重大漏洞后暴露资金与人力不足的情况。当前处于开源基础设施从志愿模式向有组织资助转型的阶段，但核心安全仍依赖有限专职资源。

本质属于产业链重构。互联网底层语言由非营利小团队维护，而商业与政府用户大规模依赖；当AI加速漏洞发现与代码贡献时，维护负担上升，传统“免费使用、志愿维护”模式承压，推动对可持续资助与责任分担的重新定价。

ABAB News · 认知定律