PHP 基金会是一家资助支撑着大量网站背后的编程语言开发的非营利组织，其执行总监 Elizabeth Barron 周五表示，基金会年度预算约为 97.4 万美元，全职员工仅有一人。本周，两个严重安全漏洞引发了一场全球范围的修补行动。

一名全职员工与 14 名承包人员

“我们只有一名全职员工（就是我本人），以及 14 名大多是兼职的承包人员，”Barron 在一次采访中表示。基金会理事会不领取报酬，资金来自拨款和捐款。

基金会的 Open Collective 页面列出的年度预算为 974,057.80 美元。自 2021 年底成立以来，该组织已筹集 306 万美元，支出 270 万美元，剩余 356,614.52 美元——足以覆盖约四个月的支出。页面显示，已有 1,927 人捐款，340 人持有月度认捐，总额约为 9,416 美元。若持续满一年，这笔经常性收入约为 11.3 万美元——约占预算的 12%——其余资金则来自更大规模的拨款和捐款。

Barron 表示，一年来针对 PHP 代码的修改提案几乎翻倍，贡献者的处理速度未能跟上。每一份提交和漏洞报告仍需由有经验的人员逐一审查。

她指出，人工智能的影响是双向的。AI 帮助研究人员发现了这两个潜伏在 PHP 代码中长达十年的漏洞，也让程序员的工作效率更高——但同时也增加了维护者的审查负担。她表示，考虑到企业和政府对 PHP 的依赖程度，这门语言的资金严重不足。

支持者与支出

自 2021 年 12 月以来，Automattic 是基金会最大的支持者，出资 762,500 美元，其次是 JetBrains，出资 476,670 美元。Sovereign Tech Fund 提供了约 214,115 美元，Linux 基金会出资 183,500 美元。较小的金额来自 Private Packagist、Craft CMS、Cybozu 和 Tideways，Zend by Perforce 出资 56,000 美元，GoDaddy 出资 48,000 美元。自 10 月 21 日——即 PHP 发布补丁的当天——以来，Chainguard Team 已捐款 50,000 美元。四家最大的支持者合计出资超过 160 万美元，占迄今筹得的 306 万美元总额的一半以上。

基金会在其页面上说明，其资金用于支付开发者为 PHP 语言工作。核心开发者工作是其最大的支出类别，在 526 笔已支付费用中占 227 笔，总额约 111 万美元。

PHP2Shell 漏洞引发数百万次攻击尝试

据 Cryptopolitan 报道，PHP 于 10 月 21 日发布了针对 CVE-2026-109618 和 CVE-2026-109619 的补丁，两者的严重程度评分均为 9.2 分（满分 10 分）。这对被称为 PHP2Shell 的漏洞可能允许攻击者在未经登录的情况下执行代码。Wiz 的研究表明，这些漏洞还可能从内存中泄露密码和 API 密钥。修复版本为 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35——网站运营者可以据此检查自己的部署版本。

Cloudflare 记录到数百万次攻击尝试，芬兰、荷兰和法国的政府网站曾短暂宕机。基金会正在与 OpenAI、Wiz 和 Calif 合作修复这些问题。

Barron 表示，没有证据表明黑客在漏洞披露之前或在已修补的网站上利用了这些漏洞。

据 [W3Techshttps://w3techs.com/technologies/details/pl-php) 数据，PHP 这门拥有 30 多年历史的开源语言，在服务器端语言已知的网站中占比达 69.3%。