PHP曝高危漏洞 全球70%网站依赖下仅1名全职维护者

本周，PHP被披露存在两处高危安全漏洞（CVE-2026-XXXXX与CVE-2026-XXXXY），引发全球数百万次攻击尝试，大量网站紧急打补丁或临时下线。此次事件表面为技术风险，深层反映其维护体系脆弱：PHP基金会仅1名全职员工（执行董事伊丽莎白·巴伦）与14名兼职外包人员维持运作，董事会成员均为无薪志愿者，资金完全依赖捐赠。全球约70%网站依赖PHP，包括WordPress、Drupal等主流系统。漏洞由人工发现，AI在后续排查中辅助识别出潜伏十年的问题，但代码提交量近一年翻倍，审核人力未同步增长，PR常积压超72小时。修复工作依托OpenAI、Wiz与Calif等机构协作完成，目前无证据显示漏洞已被成功利用。更严峻的是，大量服务仍在运行已停止支持的旧版PHP，形成“僵尸依赖”风险区。责任链条中，最关键一环——PHP核心维护——资源严重短缺。行业层面，Linux内核、OpenSSL等基础项目同样面临维护者老龄化、企业资助不均问题。2023年OpenSSF报告显示，Top 100开源项目中超60%核心维护者为兼职或志愿者。基金会近年推动企业赞助计划，但巴伦强调需可持续资金流而非应急援助。社区响应有所提升，GitHub Issue处理提速40%，Wiz启动对10年以上未更新组件的风险评级。美国NSF建议设立“关键数字基础设施维护基金”，定向支持基础层项目专职岗位。本次事件影响可控，但警示意义深远：互联网稳定性取决于底层维护者的资源保障，而非前沿技术本身。