最新10月27日消息，支撑全球大量网站的开源脚本语言PHP近期曝出PHP2Shell远程代码执行漏洞，但根据最新报道，团队人手却与语言地位严重不匹配。

全球范围内估计有约70%的网站基于PHP，而负责开发和维护PHP的PHP基金会却只有一名全职员工和约14名兼职承包商。

PHP基金会执行董事Elizabeth Barron在接受采访时表示，她是团队中唯一的全职人员，与兼职承包商合作开发和维护PHP核心及安全修复。

团队接受全球贡献者提交代码，模式类似Linux内核开发，但Linux内核有大量全职贡献者和企业派驻开发者，PHP团队远不及Linux。

导致此次漏洞的内存溢出问题实际上2024年就被发现，但由于人手不足，修复工作“数月间反复停滞和重启”，再加上相关漏洞的信息被提前披露，进一步加剧了混乱。

Barron感谢基金会资金让多人能全职投入修复，包括周末和通宵协调各方，但资金不足很可能是未能及时修复的结构性原因。

比核心语言漏洞更严重的是服务器端，理论上运行PHP 8.x的服务器几分钟内就能打上补丁，但约73%的PHP网站用的是已过支持期的版本。

许多服务器还在跑四年前就已停止支持PHP 7，该版本2015年底发布至今已近11年；更离谱的是约7.7%的PHP网站仍在运行5.x版本，该版本2005年发布，距今已超过20年。

从PHP 5升级到7再到8确实需要修改部分网站代码，但大部分改动是删除已弃用的旧函数和库，核心语言特性改动不多，还新增了不少语法简化代码，即便在AI普及之前，也有自动化代码迁移工具。