PHP基金会坦言资金不足、仅1名全职员工：还在跑PHP的网站该怎么做安全自查

本周 PHP 曝出两处高危漏洞，全球主机商连夜打补丁。而在这场紧急响应背后，PHP 基金会负责人给出了一个有点扎心的说法：基金会资金不足，目前只有 1 名全职员工。

数字有多悬殊

PHP 支撑着全球约七成的网站（WordPress、Laravel、ThinkPHP、各类 CMS 全都建在它上面）。对比一下：

• Linux 内核基金会年预算：数千万美元级别；
• Python 软件基金会：数百万美元；
• PHP 基金会：靠企业和个人捐赠维持，全职员工 1 人。

这不是 PHP 独有的困境——大量关键开源基础设施都是”几个人维护着半个互联网”。但 PHP 的特殊之处在于：它承载的业务场景太多是中小企业官网、电商、企业内部系统，这些网站往往没人盯着安全公告，补丁打得很慢。

你该做什么：五步自查

第一步：确认版本

php -v

PHP 8.1 及以下已经 EOL（停止安全支持）。8.2 也已进入只修安全问题阶段。生产环境建议至少 8.2，最好是 8.3。

第二步：检查是否受影响

关注 PHP 官方 security 公告页（php.net/security），以及你所用发行版的公告（Debian/Ubuntu/RHEL 都会同步）。不要只看博客转述，直接看原始 CVE 描述，确认影响版本范围。

第三步：优先修”能直接拿到 shell”的漏洞

不是所有高危漏洞都一样危险。判断优先级看三点：

• 是否需要认证（需要登录的漏洞风险低一档）；
• 是否能远程触发（RCE > 信息泄露 > DoS）；
• 你的服务是否暴露在公网。

第四步：升级而不是打补丁

PHP 的补丁分发不像内核那样有成熟的 livepatch 机制，实操上更稳妥的是升级小版本：

# Debian/Ubuntu（用 ondrej 源）
apt update && apt install --only-upgrade php8.3-fpm php8.3-cli

# 或整包升级
apt upgrade

# RHEL/Alma/Rocky
dnf update php\*

升级前务必在测试环境验证一遍，PHP 小版本升级虽然兼容性好，但扩展（尤其是自己编译的）可能需要重编。

第五步：别忘记重启

这是最常见的疏漏：apt upgrade 装完新包，但 php-fpm 还是旧进程在跑。

systemctl restart php8.3-fpm
# 或
systemctl reload php8.3-fpm

验证方法：跑一个 phpinfo() 页面，看输出的版本号和构建日期是否更新。

长期建议

1. 把 PHP 版本纳入监控。用脚本定期检查 php -v 输出，跟官方最新补丁版本比对，落后就告警。

2. 订阅发行版安全公告。Debian 的 debian-security-announce、Ubuntu 的 USN 邮件列表，比追新闻更快。

3. 别用太老的框架。很多”PHP 漏洞”实际是框架层的漏洞（如 ThinkPHP 的历史 RCE），框架本身不维护了，PHP 再新也没用。

4. 考虑给 PHP 基金会捐点钱。这不是情怀，是理性——你依赖的基础设施如果维护者只剩一个人，风险最终会传导到你的业务上。

一句话总结

PHP 不会消失，但”装上去就不管”的时代已经结束了。这次漏洞是个提醒：把版本管理和补丁流程做成常规动作，比每次出事手忙脚乱强得多。