快科技 10 月 27 日消息，支撑全球大量网站的开源脚本语言 PHP 近期曝出 PHP2Shell 远程代码执行漏洞，但根据最新报道，团队人手却与语言地位严重不匹配。

全球范围内估计有约 70% 的网站基于 PHP，而负责开发和维护 PHP 的 PHP 基金会却只有一名全职员工和约 14 名兼职承包商。

PHP 基金会执行董事 Elizabeth Barron 在接受采访时表示，她是团队中唯一的全职人员，与兼职承包商合作开发和维护 PHP 核心及安全修复。

团队接受全球贡献者提交代码，模式类似 Linux 内核开发，但 Linux 内核有大量全职贡献者和企业派驻开发者，PHP 团队远不及 Linux。

导致此次漏洞的内存溢出问题实际上 2024 年就被发现，但由于人手不足，修复工作 " 数月间反复停滞和重启 "，再加上相关漏洞的信息被提前披露，进一步加剧了混乱。

Barron 感谢基金会资金让多人能全职投入修复，包括周末和通宵协调各方，但资金不足很可能是未能及时修复的结构性原因。

比核心语言漏洞更严重的是服务器端，理论上运行 PHP 8.x 的服务器几分钟内就能打上补丁，但约 73% 的 PHP 网站用的是已过支持期的版本。

许多服务器还在跑四年前就已停止支持 PHP 7，该版本 2015 年底发布至今已近 11 年；更离谱的是约 7.7% 的 PHP 网站仍在运行 5.x 版本，该版本 2005 年发布，距今已超过 20 年。

从 PHP 5 升级到 7 再到 8 确实需要修改部分网站代码，但大部分改动是删除已弃用的旧函数和库，核心语言特性改动不多，还新增了不少语法简化代码，即便在 AI 普及之前，也有自动化代码迁移工具。

【本文结束】如需转载请务必注明出处：快科技

责任编辑：黑白