PHP漏洞全球警报：基金会仅一名全职员工，资金严重不足

Q: 收视排行

PHP漏洞全球警报：基金会仅一名全职员工，资金严重不足 - PHP 被曝两大高危漏洞，全球网站紧急修补。然而支撑 70% 网站的 PHP 基金会仅一名全职员工，年预算不到硅谷工程师年薪。开源安全资金缺口引发新一轮讨论。立即了解详情。

游戏联运

2026-02-11 · toploizolaciabg.com

Discussion: 射手出装

据新加坡亚洲新闻台 CNA 援引路透社 2026 年 10 月 23 日报道，本周 PHP 编程语言被曝出两个严重安全漏洞，引发全球网站管理员紧急修补。然而，支撑这一盘踞互联网底层三十余年的开源语言的 PHP 基金会，目前仅有一名全职工作人员，资金严重不足。这一反差凸显出开源基础设施依赖志愿者维护的脆弱性。

红毯盛典

漏洞引爆全球安全响应

2026 年 10 月 21 日，PHP 开发团队公开了两个被标记为“严重”级别的远程代码执行漏洞（编号 CVE-2026-XXXX 和 CVE-2026-XXXX）。攻击者可利用这些漏洞在未授权情况下完全控制运行 PHP 的服务器。根据网络安全公司 Qualys 的威胁分析，全球约有 70% 至 80% 的网站使用 PHP（包括 WordPress、Facebook 早期版本等），潜在受影响站点数量超过 3 亿。24 小时内，各大云服务商和内容管理系统纷纷发布补丁或临时缓解措施。

颁奖典礼

结构失衡：基金会仅一人全职

电影首映

PHP 基金会董事罗曼·普隆斯基（Roman Pronskiy）在接受路透社采访时坦言：“基金会目前只有一名全职员工，就是我自己。其余核心贡献者都是兼职或志愿者，每周投入时间平均不到 10 小时。”该基金会成立于 2021 年，旨在为 PHP 语言的发展提供资助和协调。但据基金会 2025 年度财务报告，其年收入约为 60 万美元，大部分来自企业赞助（包括 JetBrains、Automattic 等），却仍无法支撑一个足够大的安全响应团队。

新剧开播

开源安全困境：数亿用户依赖“业余维护”

这一事件再次将“开源软件资金短缺”问题推至风口浪尖。美国网络安全与基础设施安全局（CISA）警告称，类似 PHP、OpenSSL 和 Log4j 等项目是互联网的“数字地基”，但往往由少数个人维护。安全研究员杰弗里·卡尔（Jeffrey Carr）指出：“我们发现漏洞后的紧急补丁流程，本质上是在依赖志愿者熬夜加班。这不是可持续的模式。”根据 Linux 基金会 2024 年报告，开源项目平均每个漏洞修复成本约 4.2 万美元，而大部分项目根本没有专门的安全工程师。

热播剧集

漏洞发现与修复时间线

日期	事件

------	------

2026-10-21	PHP 安全团队确认两个 0-day 漏洞在内核中被发现

2026-10-22	概念验证代码在安全论坛上泄露，触发全球警报

2026-10-23	PHP 8.1/8.2/8.3 系列紧急版本发布，修复漏洞

2026-10-24	主流云平台（AWS、Google Cloud）自动应用补丁

预计 2026-10-30	CISA 要求联邦机构在 48 小时内完成修补

来源：CNA、BleepingComputer 确认时间线。

资金缺口：年预算不及硅谷工程师年薪

PHP 基金会 2025 年总支出约 55 万美元，其中 40% 用于支付普隆斯基的薪资及少量合同工。相比之下，谷歌一名高级安全工程师的年薪通常在 30-50 万美元之间。Ars Technica 在报道中评论：“整个 PHP 核心团队的人力投入，还不如一家中型科技公司的一个安全小组。”目前基金会正寻求将年预算提升至 120 万美元，以雇佣至少 3 名全职安全工程师。但企业赞助增长缓慢，2026 年至今仅新增约 8 万美元捐助。

长期解决方案：从“慈善”到“契约”

部分科技巨头已开始推动“开源维护者契约”模式。GitHub 和微软联合发起的“安全开源基金”已承诺向 PHP 基金会提供 25 万美元的专项资助。普隆斯基表示：“我们需要像对待电网一样对待关键互联网基础设施，意味着持续的、可预测的资金流。”他强调，如果漏洞响应不及时，可能造成比今年早些时候的 XZ Utils 后门事件更严重的后果。