PHP 基金会只有一名全职员工

支撑全球大量网站的语言，靠一个只有一个人的机构维护。这不是段子，是 PHP 基金会执行董事自己说的。一个漏洞就能让全世界的运维半夜起来打补丁，而补丁背后站着的人手，比一家中型网吧的员工还少。

一、发生了什么

据 IT之家 10 月 25 日报道，本周 PHP 曝出高危漏洞后全球紧急打补丁，负责维护这门语言的非营利基金会也随之被聚光灯照到。据估算，全球最高约有七成网站依托 PHP 搭建，这门语言已陪伴互联网超过三十年。执行董事伊丽莎白·巴伦在周五的邮件采访里坦言：基金会全职员工只有她一人，另外有十四名多为兼职的外包人员，董事会成员全部无薪，资金来源是捐赠和资助。她原话的意思很直接：这么多企业和政府依赖 PHP，投入却严重不足。为排查这次漏洞，基金会与 OpenAI、安全公司 Wiz 等外部机构协作，周三发布的补丁就是协作成果。网络安全公司 Cloudflare 称监测到数百万次攻击尝试，但巴伦表示没有证据表明漏洞在公开前就被黑客实际利用，也没有已打补丁的系统出现异常的反馈。更值得留意的是长期压力：项目收到的代码修改提案量接近一年前的两倍，贡献者人数并没有同步涨上去。审核代码提交和漏洞报告靠的是经验判断，这类活最缺的就是全职人力。

二、跟你有什么关系

如果你是网站负责人：你的业务可能就架在 PHP 上，它是真有人在维护，只是人很少，补丁值得尽快跟，别把「漏洞已修复」当成理所当然。如果你是开源维护者：这份人力清单说明了大多数开源项目的真实处境，热闹属于使用者，成本属于少数人，你的项目可能比它更缺钱。如果你是企业技术负责人：公司用的开源组件背后，往往就是这么小的一个团队，把关键依赖的「维护方实力」列入供应商风险评估，比事后救火便宜。

三、怎么用

1. 核对自己线上系统有没有 PHP 组件，有就查版本、补补丁，别等事故再动手。
2. 公司重度依赖的开源项目，去看它的基金会或维护团队规模、全职人数和资金来源，太单薄就准备替代方案或接手计划。
3. 有能力的团队可以定向赞助核心依赖，甚至派工程师参与审核，这比事故后的公关便宜得多。
4. 推动内部建立依赖清单：哪些组件、谁在维护、多久没更新，一张表就能暴露大半风险。

四、三个别信的说法

开源等于免费且有人管。 开源的代码是免费的，维护不是。维护者拿不到足够报酬时，风险最终转嫁给所有使用者，这次漏洞就是提醒。免费的另一面是没人有义务替你守夜。

基金会听起来很大，团队应该不小。 名字里带基金会不代表有预算。PHP 基金会一人全职、十四名兼职，账上靠捐赠，规模比很多创业公司的客服团队还小。看一个项目靠不靠谱，去看它的全职名单，别看它的官网措辞。

漏洞一出来就是世界末日。 据 Cloudflare 的监测和基金会说法，未见漏洞被提前利用的实证。该打的补丁打上即可，恐慌式传播往往比漏洞本身破坏大。真正要焦虑的不是这一次补丁，而是下一次还有没有足够的人来写补丁。

五、一句话结论

评估一个开源项目的可靠性，先看它背后站着几个人、几个全职。

信息来源

• IT之家：PHP 基金会负责人谈资金与人手 · 2026-10-25

功能与价格以官方公告为准。本文写于 2026 年 10 月 25 日。