本周PHP曝出两处高危漏洞后，全球网站运维方紧急采取行动修复，这一事件再次凸显这门已有三十年历史的开源编程语言在现代互联网基础设施中的关键地位。据估算，全球最高约有七成网站依托PHP搭建。然而，负责维护该项目的非营利组织PHP基金会，其人力与资金状况却远不足以匹配这一规模。
PHP基金会执行董事伊丽莎白·巴伦（Elizabeth Barron）在当地时间周五的邮件采访中披露，基金会目前仅有她一名全职员工，另有十四名大多为兼职的外包人员。基金会董事会成员均为无薪志愿者，运营资金主要依靠捐赠与资助。这意味着，支撑大量企业网站与内容管理系统的核心开源项目，其日常维护团队规模极为有限。
此次漏洞修复工作由基金会与外部研究人员及多家企业协作完成，合作方包括OpenAI、网络安全公司Wiz和Calif。本周三发布的修复补丁即为这项合作的成果。网络安全服务商Cloudflare表示已监测到数百万次攻击尝试，但巴伦称，基金会没有证据表明黑客在漏洞公开前成功利用这些漏洞，也未发现已打补丁的系统遭到入侵。她表示，基金会与OpenAI、Wiz、Calif密切协作，几家机构均未反馈已修复系统出现异常情况。
人工智能在此次事件中扮演了双重角色。这些潜伏长达十年的漏洞正是借助AI技术才被研究人员发现，巴伦也承认AI提升了程序员的工作效率。但与此同时，维护人员的工作量随之增加。目前PHP项目收到的代码修改提案数量接近一年前的两倍，而可贡献者人数并未同步增长。审核代码提交与漏洞报告需要投入大量人力，并依赖经验判断，这进一步加剧了有限团队的负担。
巴伦表示，近期发生的事件足以体现企业和政府对PHP的高度依赖，既然各方如此依赖该项目，其资金投入严重不足的问题便显而易见。对于大量基于PHP构建业务系统的企业而言，核心开源项目的维护能力与资金可持续性，正成为值得关注的供应链风险因素。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
