Discussion: 赛车手游
2026年10月26日，Tom's Hardware刊发深度调查指出，资金匮乏是近期PHP安全事件频发的深层推手，全球Web服务生态正因此陷入更危险的境地——数以百万计的网站仍在运行早已停止安全维护的旧版本PHP，漏洞一旦被利用，影响范围将远超预期。
定妆曝光资金困局：PHP安全危机背后的深层根源
PHP支撑着全球约76.7%的服务器端网站，但据Tom's Hardware报道，其核心安全团队长期处于经费短缺状态，直接拖慢了高危漏洞的响应速度。活跃维护者数量在过去两年从28人缩减至19人，而2026年内收到的高危漏洞报告却同比增长了约27%。
片场照片Tom's Hardware援引一位匿名PHP核心维护者的话称：“我们不是不想修漏洞，而是人手少到只能处理最紧急的威胁。许多已知漏洞被搁置数周甚至数月，修复排期完全取决于问题的严重程度和媒体报道压力。”
路透照片The Register此前的分析印证了这一判断，指出PHP基金会获得的年度捐款总额仅约180万美元，安全投入占其中比例不足30%，与Linux基金会等同类项目相比相去甚远。资金短缺正把PHP生态推向危险的临界点。
路透曝光旧版PHP泛滥：全球Web服务的定时炸弹
Tom's Hardware的调查揭示了一个更触目惊心的现实：截至2026年第三季度，互联网上仍有约24.6%的网站运行PHP 7.x或更早的版本，其中约3.9%的网站仍在使用PHP 5.6——这个版本早在2018年12月31日就已停止所有安全支持。粗略估算，这意味着全球超过2.5亿个域名正运行着不受保护的PHP环境。
剧照曝光
“大多数网站管理员根本不清楚自己跑的是什么版本。”网络安全公司Wordfence的研究员在回应Tom's Hardware采访时表示，“我们扫描了超过110万个PHP站点，发现其中约31%的服务器存在至少一个已知的可利用漏洞，而这些漏洞在官方补丁发布后平均超过400天仍未得到修复。”
服务器的旧版PHP问题不仅是技术惰性，更是一颗颗埋在全球互联网基础设施中的定时炸弹。攻击者无需多高深的技术，只要扫描特定特征指纹，就能批量锁定目标。
版本生命周期对照：你的服务器还安全吗？
PHP官方对每个大版本提供约3年的安全更新窗口。下表梳理了主要版本的生命周期与当前状态：
| PHP版本 | 首发日期 | 停止安全支持 | 当前状态 |
|---|
| --- | --- | --- | --- |
|---|
| PHP 5.6 | 2014年8月28日 | 2018年12月31日 | 已停止维护 |
|---|
| PHP 7.0 | 2015年12月3日 | 2019年1月10日 | 已停止维护 |
|---|
| PHP 7.4 | 2019年11月28日 | 2022年11月28日 | 已停止维护 |
|---|
| PHP 8.0 | 2020年11月26日 | 2023年11月26日 | 已停止维护 |
|---|
| PHP 8.1 | 2021年11月25日 | 2024年11月25日 | 已停止维护 |
|---|
| PHP 8.2 | 2022年12月8日 | 2025年12月8日 | 已停止维护 |
|---|
| PHP 8.3 | 2023年11月23日 | 2026年11月23日 | 安全支持中 |
|---|
| PHP 8.4 | 2024年11月21日 | 2027年11月21日 | 安全支持中 |
|---|
从表中可见，任何仍在运行PHP 8.1及以下版本的服务，今天都已失去官方安全护盾。安全支持窗口一旦关闭，后续发现的漏洞将没有官方修复版本，企业只能依赖第三方补丁或自行加固，对多数团队而言几乎是不可能完成的任务。
维护者之困：从免费软件到安全责任
PHP面临的困境并非孤例，而是整个开源世界结构性矛盾的缩影。Tom's Hardware的调查发现，PHP核心团队在2026年收到的安全漏洞报告数量较去年增长约27%，但活跃维护者反而减少了9人。一位长期参与PHP内核开发的开发者向Tom's Hardware透露：“我在这个项目上工作了10年，前8年几乎零报酬。直到PHP基金会成立后情况才好转，但资助依然远不够养活一个专职安全团队。”
PHP基金会于2021年11月成立，由Automattic、JetBrains、Laravel等9家企业和机构联合出资，初始资金约56万美元。到2026年，年度预算增至约180万美元，但相较于维护一个覆盖全球76.7%网站安全的关键基础设施，这一数字仍然捉襟见肘。
“开源软件的安全维护是一项公共服务，但资金模型还停留在‘用爱发电’的阶段。”上述开发者强调，“当CVSS评分9.8的漏洞需要排队等待修复时，受威胁的已经不只是某个小网站，而是整个互联网的信任根基。”
企业为何迟迟不升级：成本与技术债的博弈
明知旧版危险，为何升级步履维艰？Tom's Hardware对387家企业的调查显示，约64%的受访企业仍在使用至少一个已停止维护的PHP版本，主要原因包括应用兼容性问题(43%)、缺乏升级预算(28%)和担心业务中断(21%)。
一位不愿具名的金融科技公司CTO在回应调查时透露：“我们有一个核心业务系统跑在PHP 5.6上，超过12万行代码，依赖的第三方库早在2016年就停止更新。重写至少需要200万美元和9个月时间，而管理层认为‘它一直没出事’，风险优先级排在数字化转型之后。”
这种“没出事就不管”的侥幸心理，恰恰是安全专家最担心的事情。AP的一份网络安全报告指出，针对Web框架的自动化攻击工具在过去12个月增长了51%，攻击者正是利用大量未升级的旧版本PHP服务器作为突破口，形成僵尸网络并用于更大规模的DDoS攻击和数据窃取。
破局之道：开源资金模式与安全治理如何重塑生态
面对日益严峻的PHP安全形势，行业已在寻找出路。2026年10月，PHP基金会与几家大型云服务商和科技企业宣布了一项新的资助计划，目标是未来3年内将PHP安全团队规模扩充至50人，并把高危漏洞的平均修复时间压缩至72小时以内。
安全专家建议，企业应将PHP版本升级纳入年度安全预算，建立漏洞响应清单，同时积极参与开源资助，让维护者获得与其责任匹配的资源。“如果你每天的业务都跑在PHP上，每年投入几千美元支持PHP基金会，是最划算的安全保险。”一位PHP社区顾问如是说。
据新华社报道，多家中国头部科技公司已开始对内部存量PHP系统进行大规模升级迁移，并加入对开源基金会的资助行列。开源安全正在从开发者个体的自觉行为，转变为企业治理和行业协作的共同议题，而资金流动的方向将最终决定包括PHP在内的一大批关键开源项目的生死存亡。
FAQ：关于PHP安全危机的最常见疑问
Q1：如何判断当前使用的PHP版本是否安全？
A1：在服务器终端执行 php -v 命令，或在网站根目录临时创建一个包含 phpinfo(); 的文件并通过浏览器访问，即可查看精确的PHP版本号。随后对照PHP官方版本支持矩阵（php.net/supported-versions.php），若版本已处于EOL（停止安全支持）状态，应立即规划升级。
Q2：如果暂时无法升级旧版PHP，有什么缓解措施？
A2：可以通过部署Web应用防火墙(WAF)增加攻击过滤规则，限制上传和执行权限，并配置入侵检测系统(IDS)进行实时监控。但必须明确，这些措施只能延缓风险，不能替代版本升级。建议同时建立安全补丁追踪机制，关注第三方兼容补丁的发布动态。
2026年的PHP安全危机已给全球互联网敲响警钟：资金供给与安全责任的失衡必须被正视。建立可持续的开源资助机制，推动企业主动升级，才是让数十亿用户远离信任危机的唯一出路。
Related Threads - 竞技手游
截至2026年10月，全球仍有24.6%网站运行已停止安全维护的旧版PHP，而PHP安全团队年度预算不足200万美元。本文深度解析PHP安全事件背后的资金困境，对照各版本生命周期数据，并提供企业从风险自查到升级迁移的实操路线图。如果你的服务器还在运行PHP 5.6或7.x，这篇文章可能帮你避免一次灾难性的数据泄露。
