PHP近日被曝出一个名为PHP2Shell的远程代码执行漏洞，能影响大量服务器。但真正让这个事件显得魔幻的，不是漏洞本身，而是负责维护PHP的组织——PHP基金会，满打满算只有一名全职员工。
全球大概有七成网站跑在PHP上，而维护这个庞大生态的核心团队，却只有执行董事Elizabeth Barron一位全职人员，外加约14名兼职承包商。她在接受采访时承认，人手紧张到漏洞修复工作“反复停滞和重启”。
事实上，导致这个漏洞的内存溢出问题在2024年就已经被发现。但团队规模太小，修复工作一直断断续续。更糟的是，漏洞信息还提前被披露，让开发团队不得不在周末和深夜紧急协调，才勉强推出补丁。
这种模式很容易让人联想到Linux内核的开发方式，但Linux背后有大量企业派驻的全职开发者，而PHP基金会的资金和人力都远达不到那个量级。说白了，开源项目在用爱发电，但安全漏洞不会等爱到位。
比核心代码漏洞更让人头疼的是服务器端。理论上，运行PHP 8.x的服务器几分钟内就能打完补丁，但现实中，大约73%的PHP网站还在用早已停止安全支持的版本。不少服务器跑的是四年前就停更的PHP 7，这个版本从2015年底发布到现在，已经快11岁了。更夸张的是，还有约7.7%的网站停留在PHP 5.x，那已经是2005年的东西，超过20年没人管了。
很多人觉得从PHP 5升到7再升到8很麻烦，确实需要改一些代码，但大部分工作只是删除废弃的旧函数和库，核心语法改动不算剧烈，甚至新增了不少简化写法。即便不想手工改，AI普及之前也已经有自动迁移工具了。迟迟不升级的主要原因，往往不是技术门槛，而是“能跑就绝不折腾”的运维惯性。
这次漏洞给整个行业提了个醒：开源基础设施的安全状况，比表面上的活跃度更脆弱。一个养活全球七成网站的语言，背后可能只有几个人的业余时间在撑着。商业公司依赖这些技术时，是否也该考虑为它们的持续性投入点什么——这不仅是道德问题，也是实实在在的供应链风险。