PHP安全危机调查：资金枯竭与旧版本泛滥如何威胁全球网站

2026年10月26日，Tom's Hardware刊发深度调查指出，资金匮乏是近期PHP安全事件频发的深层推手，全球Web服务生态正因此陷入更危险的境地——数以百万计的网站仍在运行早已停止安全维护的旧版本PHP，漏洞一旦被利用，影响范围将远超预期。

资金困局：PHP安全危机背后的深层根源

PHP支撑着全球约76.7%的服务器端网站，但据Tom's Hardware报道，其核心安全团队长期处于经费短缺状态，直接拖慢了高危漏洞的响应速度。活跃维护者数量在过去两年从28人缩减至19人，而2026年内收到的高危漏洞报告却同比增长了约27%。

Tom's Hardware援引一位匿名PHP核心维护者的话称：“我们不是不想修漏洞，而是人手少到只能处理最紧急的威胁。许多已知漏洞被搁置数周甚至数月，修复排期完全取决于问题的严重程度和媒体报道压力。”

The Register此前的分析印证了这一判断，指出PHP基金会获得的年度捐款总额仅约180万美元，安全投入占其中比例不足30%，与Linux基金会等同类项目相比相去甚远。资金短缺正把PHP生态推向危险的临界点。

旧版PHP泛滥：全球Web服务的定时炸弹

Tom's Hardware的调查揭示了一个更触目惊心的现实：截至2026年第三季度，互联网上仍有约24.6%的网站运行PHP 7.x或更早的版本，其中约3.9%的网站仍在使用PHP 5.6——这个版本早在2018年12月31日就已停止所有安全支持。粗略估算，这意味着全球超过2.5亿个域名正运行着不受保护的PHP环境。

“大多数网站管理员根本不清楚自己跑的是什么版本。”网络安全公司Wordfence的研究员在回应Tom's Hardware采访时表示，“我们扫描了超过110万个PHP站点，发现其中约31%的服务器存在至少一个已知的可利用漏洞，而这些漏洞在官方补丁发布后平均超过400天仍未得到修复。”

服务器的旧版PHP问题不仅是技术惰性，更是一颗颗埋在全球互联网基础设施中的定时炸弹。攻击者无需多高深的技术，只要扫描特定特征指纹，就能批量锁定目标。

版本生命周期对照：你的服务器还安全吗？

PHP官方对每个大版本提供约3年的安全更新窗口。下表梳理了主要版本的生命周期与当前状态：

从表中可见，任何仍在运行PHP 8.1及以下版本的服务，今天都已失去官方安全护盾。安全支持窗口一旦关闭，后续发现的漏洞将没有官方修复版本，企业只能依赖第三方补丁或自行加固，对多数团队而言几乎是不可能完成的任务。

维护者之困：从免费软件到安全责任

PHP面临的困境并非孤例，而是整个开源世界结构性矛盾的缩影。Tom's Hardware的调查发现，PHP核心团队在2026年收到的安全漏洞报告数量较去年增长约27%，但活跃维护者反而减少了9人。一位长期参与PHP内核开发的开发者向Tom's Hardware透露：“我在这个项目上工作了10年，前8年几乎零报酬。直到PHP基金会成立后情况才好转，但资助依然远不够养活一个专职安全团队。”

PHP基金会于2021年11月成立，由Automattic、JetBrains、Laravel等9家企业和机构联合出资，初始资金约56万美元。到2026年，年度预算增至约180万美元，但相较于维护一个覆盖全球76.7%网站安全的关键基础设施，这一数字仍然捉襟见肘。

“开源软件的安全维护是一项公共服务，但资金模型还停留在‘用爱发电’的阶段。”上述开发者强调，“当CVSS评分9.8的漏洞需要排队等待修复时，受威胁的已经不只是某个小网站，而是整个互联网的信任根基。”

企业为何迟迟不升级：成本与技术债的博弈

明知旧版危险，为何升级步履维艰？Tom's Hardware对387家企业的调查显示，约64%的受访企业仍在使用至少一个已停止维护的PHP版本，主要原因包括应用兼容性问题(43%)、缺乏升级预算(28%)和担心业务中断(21%)。

一位不愿具名的金融科技公司CTO在回应调查时透露：“我们有一个核心业务系统跑在PHP 5.6上，超过12万行代码，依赖的第三方库早在2016年就停止更新。重写至少需要200万美元和9个月时间，而管理层认为‘它一直没出事’，风险优先级排在数字化转型之后。”

这种“没出事就不管”的侥幸心理，恰恰是安全专家最担心的事情。AP的一份网络安全报告指出，针对Web框架的自动化攻击工具在过去12个月增长了51%，攻击者正是利用大量未升级的旧版本PHP服务器作为突破口，形成僵尸网络并用于更大规模的DDoS攻击和数据窃取。

破局之道：开源资金模式与安全治理如何重塑生态

面对日益严峻的PHP安全形势，行业已在寻找出路。2026年10月，PHP基金会与几家大型云服务商和科技企业宣布了一项新的资助计划，目标是未来3年内将PHP安全团队规模扩充至50人，并把高危漏洞的平均修复时间压缩至72小时以内。

安全专家建议，企业应将PHP版本升级纳入年度安全预算，建立漏洞响应清单，同时积极参与开源资助，让维护者获得与其责任匹配的资源。“如果你每天的业务都跑在PHP上，每年投入几千美元支持PHP基金会，是最划算的安全保险。”一位PHP社区顾问如是说。

据新华社报道，多家中国头部科技公司已开始对内部存量PHP系统进行大规模升级迁移，并加入对开源基金会的资助行列。开源安全正在从开发者个体的自觉行为，转变为企业治理和行业协作的共同议题，而资金流动的方向将最终决定包括PHP在内的一大批关键开源项目的生死存亡。

FAQ：关于PHP安全危机的最常见疑问

Q1：如何判断当前使用的PHP版本是否安全？

A1：在服务器终端执行 php -v 命令，或在网站根目录临时创建一个包含 phpinfo(); 的文件并通过浏览器访问，即可查看精确的PHP版本号。随后对照PHP官方版本支持矩阵（php.net/supported-versions.php），若版本已处于EOL（停止安全支持）状态，应立即规划升级。

Q2：如果暂时无法升级旧版PHP，有什么缓解措施？

A2：可以通过部署Web应用防火墙(WAF)增加攻击过滤规则，限制上传和执行权限，并配置入侵检测系统(IDS)进行实时监控。但必须明确，这些措施只能延缓风险，不能替代版本升级。建议同时建立安全补丁追踪机制，关注第三方兼容补丁的发布动态。

2026年的PHP安全危机已给全球互联网敲响警钟：资金供给与安全责任的失衡必须被正视。建立可持续的开源资助机制，推动企业主动升级，才是让数十亿用户远离信任危机的唯一出路。