PHP基金會僅1名全職員工協調修復兩大嚴重漏洞

PHP基金會執行董事Elizabeth Barron表示，該組織僅有1名全職員工（即她本人）與14名多爲兼職的承包人員，董事會成員爲無薪志願者，資金來自捐贈與補助。

該基金會本週協調修復兩個嚴重PHP漏洞（合稱PHP2Shell，CVE-2026-109618與CVE-2026-109619），可導致未認證遠程代碼執行。PHP可能支撐全球高達70%網站，歐洲等地部分政府網站因緊急修補而短暫下線。

基金會與OpenAI、Wiz及Calif等外部機構合作調查併發布補丁。Cloudflare報告數百萬次攻擊嘗試，但基金會稱無證據顯示漏洞在公開前被利用，或已修補系統遭成功利用。

AI相關代碼貢獻使基金會工作量翻倍，審查需大量人工經驗。基金會稱，鑑於企業與政府對PHP的高度依賴，該項目“資金嚴重不足”。部分公開記錄顯示年度預算約97.3萬美元。

一個相關漏洞跡象早在2024年被發現，但因資源與決策流程問題延遲處理，基金會將其稱爲結構性失敗。補丁於週三發佈，用戶被強烈建議立即更新。

市場機制方面，全球網站與政府服務依賴開源基礎組件，維護成本由少數非營利組織與志願/兼職人員承擔。受益方爲使用PHP的企業與政府（獲得免費安全補丁），承壓方爲資源有限的維護基金會，資金缺口在高風險事件中被放大。

來源：公開信息

ABAB AI 解讀

PHP基金會成立於近年，旨在爲已有30年曆史的PHP語言提供可持續資金與開發支持。歷史上核心維護依賴志願者與有限贊助，2024年外部審計曾發現相關跡象但未形成可利用路徑，處理延遲被基金會稱爲結構性失敗。

資本路徑上，資金主要來自企業贊助與個人捐贈，用於支付少數承包開發者的安全與維護工作。本次事件中，基金會協調OpenAI、Wiz等外部安全資源完成補丁，但自身全職人力僅1人，顯示維護能力高度依賴外部合作與有限預算。

這類似於其他關鍵開源項目（如部分Linux發行版或早期OpenSSL）在重大漏洞後暴露資金與人力不足的情況。當前處於開源基礎設施從志願模式向有組織資助轉型的階段，但核心安全仍依賴有限專職資源。

本質屬於產業鏈重構。互聯網底層語言由非營利小團隊維護，而商業與政府用戶大規模依賴；當AI加速漏洞發現與代碼貢獻時，維護負擔上升，傳統“免費使用、志願維護”模式承壓，推動對可持續資助與責任分擔的重新定價。

ABAB News · 認知定律