过去一年，AI驱动的漏洞报告激增，揭开了关键开源软件长期资金不足的窘境。最新陷入危机的是支撑全球约71%网站的脚本语言PHP，其因一起严重的远程代码执行漏洞成为焦点。据报道，负责维护该语言的PHP基金会仅有一名全职员工，另有14名主要为兼职的承包商协助工作。
PHP基金会执行董事伊丽莎白·巴伦（Elizabeth Barron）证实，她是团队唯一的全职人员。尽管核心团队接受全球贡献者参与，模式类似Linux内核开发，但后者拥有众多全职开发者及企业支持，而PHP团队在AI代理引发安全漏洞激增前，已长期处于人手紧张状态。巴伦指出，在安全补丁发布前，并未出现该漏洞被实际利用的报告。
结构性失败：从发现到 exploited 的漫长延迟
资金支持匮乏导致了应对底层漏洞的“结构性失败”。早在2024年就被发现的内存溢出（OOM）问题，因修复工作数月间停滞且反复重启，最终演变为2026年被利用的安全隐患。Chainguard安全公司意外提前打破保密协议（embargo），进一步加剧了事态的严峻性。
尽管如此，团队对现有资助表示感激，称若无基金会支持，无法协调多人全职投入解决此问题。业界希望此次事件能促使更多依赖PHP盈利的企业增加资金投入。
真正的隐患：近七成安装运行过时版本
相比核心代码缺陷，更严峻的问题在于部署现状。理论上，运行PHP 8.x系列的服务器可在几分钟内完成补丁升级，但现实是许多网站因担忧利用风险而停机数小时甚至数天。数据显示，近73%的PHP安装运行的是已结束维护（EOL）的版本，使得获取修复变得极为困难。
其中，大量服务器仍在运行四年前就已停止支持的PHP 7（2015年底发布，距今近十一年）。更为荒谬的是，约7.7%的网站仍在使用2005年发布、2018年正式落幕的PHP 5.x版本。从PHP 5迁移至7或8虽需修改部分代码，但多数改动易于通过自动化工具应用，且核心功能变更有限。这一局面表明，长期的懈怠、懒惰与成本削减，比AI驱动的漏洞挖掘更具破坏力。