PHP 史诗级漏洞团队仅 1 名全职员工，隐患两年前已被发现

本次 PHP 爆出的 PHP2Shell 远程代码执行史诗级高危漏洞，整个维护团队仅有 1 名全职工作人员，并且该漏洞对应的技术隐患早在 2024 年的安全审计工作中就已经被排查出来，受限于人员配置与开发资源，漏洞修复工作迟迟没有落地，最终在近期形成全网紧急修复的局面；PHP 作为支撑全球七成网站运行的编程语言，核心维护团队人员规模十分精简，全职人员只负责整体统筹，核心代码修复依靠兼职外包人员与志愿者完成，加上早期只发现了缺陷迹象、没有找到完整攻击路径，才让这个高危隐患持续留存了两年，直到借助 AI 工具挖掘出完整利用方式之后，官方才紧急发布补丁完成修复。整个事件可以拆分为人员配置、漏洞发现时间线、补丁落地流程三大部分，先理清团队人员构成，再梳理隐患从发现到正式修复的完整过程，就能清晰理解本次漏洞事件的完整来龙去脉。

一、PHP 基金会维护团队人员配置清单

1. 全职人员：仅设置 1 名全职员工，岗位为基金会执行董事，负责整体项目运营、资金统筹、安全事件协调等全部管理工作，不参与代码编写与漏洞修复工作。
2. 技术开发人员：总计 14 名技术人员，全部为兼职承包商，没有固定全职开发工程师，负责 PHP 内核代码维护、bug 修改、安全补丁开发工作。
3. 决策管理层：董事会所有成员均为无薪志愿者，不领取薪资，仅参与项目决策，没有专职管理人员。
4. 外部协作力量：依靠外部安全厂商、开源志愿者、AI 技术团队共同完成漏洞审计与问题挖掘，内部技术人力储备有限。

二、漏洞隐患完整时间线（两年发现全过程）

表格

三、漏洞迟迟未能修复的核心原因

1. 人力资源不足，技术人手紧张

整个项目没有专职全职开发工程师，14 名开发人员全部是兼职人员，大家只能利用业余时间处理代码问题，遇到需要兼顾兼容性、底层内核修改的复杂漏洞，很难集中精力快速完成代码调试与补丁开发。

2. 早期无法确认漏洞危害等级

两年前仅捕捉到代码异常，没有找到完整利用方法，按照项目安全分级规则，该问题暂时被归类为普通 bug，优先级低于其他已经确认可被攻击的安全问题，没有优先安排开发资源进行处理。

3. 代码修改需要兼顾版本兼容性

PHP 拥有大量历史稳定版本，修改内存底层代码需要同时适配 PHP5.4 至 PHP8.x 数十个版本，每一处改动都要做多轮兼容性测试，工作量大幅增加，进一步拉长了修复周期。

四、漏洞事件后的项目优化步骤

步骤 1：优化安全问题决策机制，把只依靠 “是否能复现攻击” 的判定规则进行调整，只要发现底层内存缺陷，就提前纳入安全跟踪清单，避免隐患长期搁置。

步骤 2：扩充专项安全人力，联合多家互联网企业组建长期赞助团队，增加专职安全开发人员，提升漏洞响应速度。

步骤 3：引入 AI 自动化代码审计工具，常态化开展内核代码扫描，提前挖掘潜在内存缺陷，减少漏洞潜伏周期。

步骤 4：简化补丁发布流程，针对高危漏洞开通紧急发布通道，缩短从漏洞确认到正式推送更新的时间。

【相关 FAQ】

问题 1：PHP 史诗级漏洞事件里，PHP 基金会一共有几名全职员工？

回答 1：PHP 基金会仅有 1 名全职员工，岗位为执行董事，负责项目运营统筹；所有代码开发、漏洞修复工作都由 14 名兼职外包人员完成，董事会成员全部为无薪志愿者。

问题 2：本次 PHP 史诗级漏洞的隐患是什么时候被首次发现的，为什么拖了两年才修复？

回答 2：该漏洞对应的代码隐患在 2024 年的外部安全审计中就已经被发现，距今刚好两年；当时研究人员没有找到完整攻击路径，漏洞优先级被调低，再加上项目缺少全职技术人员，人手不足，导致修复工作一直被延后，直到今年借助 AI 找到攻击链路后才启动补丁开发。

问题 3：本次 PHP 史诗级漏洞编号是什么，漏洞会带来哪些安全影响？

回答 3：本次史诗级漏洞包含两个 CVE 编号，分别是 CVE-2026-109618 与 CVE-2026-109619，被安全社区统称为 PHP2Shell；攻击者无需登录，只需要发送特殊构造请求，就能在服务器实现远程代码执行，风险等级评分达到 9.2 分（满分 10 分），会影响全球绝大多数 PHP 网站。

问题 4：PHP 基金会在漏洞事件之后，针对人手不足的问题做出了哪些调整？

回答 4：基金会优化了安全问题的分级制度，避免隐患被长期搁置；同时联合多家科技企业扩大资金募集，增加专职安全开发人力；另外引入 AI 自动化代码审计工具，常态化扫描内核漏洞，还开通了高危补丁紧急发布通道，提升整体安全响应效率。

问题 5：两年前发现漏洞隐患时，为什么没有把它判定为高危安全漏洞？

回答 5：两年前安全团队只排查出内存代码异常，无法复现远程攻击操作，按照 PHP 项目的安全分级标准，无法被利用的代码缺陷只能算作普通程序 bug，优先级低于已证实可被攻击的安全问题，因此没有优先安排人手进行修复，导致隐患持续留存两年之久。

【数据来源】

[2026-10-27]（PHP 史诗级漏洞背后：仅 1 名全职员工！两年前就发现了问题）快科技官方微博

[2026-10-26]（PHP 基金会有多缺人？两个 RCE 漏洞的修复暴露答案）OSCHINA 开源社区

[2026-10-25]（PHP 基金会仅 1 名全职员工，经费紧张）IT 之家

[2026-10-24]（Critical PHP Flaws Expose a Widening Gap in Global Cyber Defenses）Analytics Insight

[2026-10-23]（全网恐慌 48 小时，拯救互联网的却是一名志愿者）36 氪

免责声明：本文全部人员配置、漏洞时间线、事件细节均来自 PHP 基金会公开声明与主流科技媒体公开报道；漏洞危害、补丁适配范围请以 PHP 官方发布的安全公告为准；开源项目人员规模受资金与捐赠规模影响，本文仅做事件信息客观科普，不针对项目运营模式作出评价；服务器升级补丁前建议先在测试环境完成验证，避免业务程序出现兼容性问题。