仅一名全职员工 却撑起全球 70% 网站
【PHP 困境 😓】作为支撑全球高达 7 成网站运作的核心程式语言，开源专案 PHP 近日爆发两项 9.2 分严重安全漏洞导致全球大乱。非谋利组织「PHP 基金会」（PHP Foundation）执行总监 Elizabeth Barron 近日接受路透社专访时透露，基金会目前长期处于「资金短缺」的窘境，全组织仅有 1 名全职员工，在 AI 工具带动程式码提案暴增的冲击下，修补漏洞的工作已逼近极限。
Elizabeth Barron 指出，外界有质疑 PHP 基金会反应太慢、维护效率低落，甚至指控为何不能为 EOL 的版本作出更新；但请大家看看我们目前的景况，就会明白我们的苦况。
该基金会旗下仅有她 1 名全职员工，其余仅仰赖 14 名「无给职志工」来维持运作。虽然核心团队与 Linux 核心社群相似，接纳来自全球社群的程式码贡献，并与多家资安企业保持合作，但在人力编制与企业资助规模上，与 Linux 等主流开源专案有着天壤之别。
PHP 作为开源伺服器端指令码语言，背后的 PHP 基金会虽然是非谋利组织，但仍需仰赖各界捐款与专案补助款支援。尽管 PHP 撑起全球七成网站，但试问又有多少正在使用 PHP 技术的个人或机构，会主动捐款贊助 PHP 基金会？
这种人力极度紧绷的窘境，在 AI 工具挖掘出安全漏洞的浪潮下更显脆弱。事实上，导致本次漏洞的核心问题早于 2024 年便已被发现，当时记录为一项记忆体不足（Out-Of-Memory, OOM）的异常错误；但由于 PHP 架构庞大且第三方扩充套件繁多，在缺乏专职人手与充足资金支援的情况下，修补工作数度停摆并重启，歷时数月才得以完成。
面对这次爆发的两项 9.2 分严重安全漏洞，由于人手不足，PHP 基金会一直努力到最后一刻才赶出修补程式。当得悉漏洞被提早公佈，PHP 志工们拼命赶在限期前 4 小时完成修正。维护团队往往需要日夜加班轮流工作，方能勉强应对突发的资安危机。
尽管 PHP 基金会最终针对现行的 PHP 8.x 版本释出修补更新，伺服器管理员理论上可在数分钟内完成套件升级，但现实情况却远比想像中严峻。她指出︰
▪️超过 73% 的 PHP 站台仍停留在已终止支援（End of Life, EOL）的旧版本：其中绝大多数仍採用 PHP 7 系列。PHP 7 早在数年前便已全面停止官方维护，但至今仍被大量线上系统沿用。
▪️约 7.7% 的网站甚至仍在使用 PHP 5.x 系列：该版本最早可追溯至 2005 年，且官方早在 2018 年便已彻底终止任何支援。
许多系统管理员与企业因担忧版本跃升（如 PHP 5 升级至 7，或 7 升级至 8）会造成既有程式码不相容或破坏相依性，长期选择维持现状而不予处理，使网站长时间暴露于高风险环境中。
除了预算拮据，AI 技术的普及亦为基金会带来双刃剑效应。一方面，AI 协助研究人员找出了深藏程式码中十年的漏洞，并使工程师的开发效率获得最佳化；但另一方面，AI 辅助写程式的盛行，也导致维护团队的工作负荷剧增。
Elizabeth Barron 表示，目前专案收到的程式码修改提案量已达一年前的近两倍，但志工人数并未同步倍增。她强调，审查这些提交的程式码以及错误回报，需要耗费庞大的人工作业与深厚经验，人力资源已捉襟见肘。
无论全球对 PHP 的依赖程度有多深，在现实中，这项重要基础建设所获得的资金支援却完全不成比例。她唿吁各界正视底层开源专案长期资金短缺的问题，主动投入更多资金贊助核心组织，同时全面排查并升级过期的伺服器执行环境，以防范连锁性的资安灾难。
资料来源:
