撐起全球七成網絡的孤勇者：當 PHP 基金會流血時，我們還在盲目「白嫖」什麼？

日期：2026-10-30 | 作者：SoloMan / 璦閣 | 標籤： 開源 PHP PHP基金會 資安 供應鏈安全 技術債 EOL 自架伺服器 Virtual CTO

當我們每天打開瀏覽器、流暢地瀏覽無數網站與雲端服務時，很少人會停下來想一想：支撐這個數位世界的底座究竟是什麼？

根據路透社報導，全球估計約 70% 的網站採用的程式語言 PHP，其背後的非營利組織「PHP 基金會」（PHP Foundation）目前只有 1 名全職員工，也就是執行總監 Elizabeth Barron。她表示，另有 14 名以兼職為主的合約開發者參與工作，董事會成員則都是無償志願者，資金主要來自捐款與贊助。

就在同一週，PHP 爆出兩個高風險安全漏洞。基金會與 OpenAI、Wiz 等外部研究團隊與企業合作，協調修補並發布補丁；Cloudflare 則表示已偵測到數百萬次針對這些漏洞的攻擊嘗試。Barron 說，目前沒有證據顯示攻擊者在漏洞公開前或在已修補的網站上成功得手。

這不只是 PHP 的問題，更是整個依賴開源軟體的現代網路世界，長期「用得多、回饋少」的縮影。

一、用的人極多，投入相對太少

要先說清楚：PHP 基金會並非無人支持。自 2021 年成立以來，它累計募得約 120 萬美元，擁有 1,600 多位捐款人（2024 年初數據）；2025 年的主要贊助者包括 Automattic、Sovereign Tech Agency、JetBrains、Laravel、GoDaddy 等。官方資料顯示，基金會聘有約 10 位開發者，2024 年累計貢獻近 2,000 個 commits。

問題在於規模不成比例。一個支撐全球約七成網站的專案，核心維護團隊卻僅有個位數到十幾人，Barron 的結論很直接：考慮到企業與政府的依賴程度，PHP 顯然資金嚴重不足。

要求這樣的團隊在資安事件中零失誤、零延遲，本身就是一種不對稱的期待。修補核心語言的漏洞，不是改個錯別字，必須經過嚴謹測試，確保不會讓數百萬個網站一夕出問題。

二、AI 時代的雙面刃：找漏洞變快，審查人力沒有變多

AI 工具的普及，一方面幫助研究人員挖出潛伏長達十年的漏洞，也提升了開發者的效率；另一方面，PHP 專案收到的程式碼修改提案（PR）數量已接近一年前的兩倍，但貢獻者人數並沒有同步翻倍。

審查提案與處理漏洞回報，仰賴大量人工經驗與判斷。找漏洞的工具變快了，但審查與修補的人手沒有等比增加。 這是開源專案在 AI 時代面臨的新壓力。

三、漏洞的實際危害，還取決於我們自己有沒有更新

基金會的修補速度是一回事，使用者願不願意更新是另一回事。

根據 W3Techs 的 PHP 版本使用統計（資料截至 2026 年 10 月），仍有相當比例的 PHP 站台停留在已終止支援（EOL）的版本：超過 34% 的 PHP 站台仍使用 PHP 7 系列或更舊版本，約 7.7% 甚至還在使用早已於 2018 年終止支援的 PHP 5.x 系列。（資料來源：W3Techs - Usage Statistics of PHP for Websites，統計資料截至 2026 年 10 月）

這些版本已不再獲得官方安全修補，等於漏洞一旦公開，就長期暴露在風險中。許多企業為了省事、擔心升級造成程式碼相依性問題，選擇不處理技術債，結果在資安事件發生時承擔最大的後果。這不是基金會的責任，而是每個使用者都該面對的功課。

四、璦閣觀點：從「只用」走向「用得負責」

璦閣數位科技長期深耕 Linux 伺服器架構、LAMP 技術棧與開源應用，始終秉持「夠用就好」與「按需建置」的理念。我們深知，開源軟體不是天上掉下來的免費午餐。

真正的技術自主，不只是「拿來用」，還包括「懂原理」與「有能力回饋」：

  • 落實務實維護： 不讓系統長期停留在 EOL 版本，建立嚴謹的版本管理與自動化安全更新機制，及早面對技術債而不是等災難發生才補救。
  • 支持開源生態： 無論是程式碼貢獻、模組開發（例如我們為 Dolibarr ERP 開發的台灣電子發票模組、輕量化開源 CMS 與離線輸入法），還是對核心基金會的財務贊助，我們都會持續評估並付諸實際行動，讓數位基礎建設不崩塌。

結語

PHP 基金會的處境，是一記警鐘。如果我們希望數位世界持續安全、穩定地運轉下去，企業就不能只當享用者。給 PHP 基金會與其他默默耕耘的開源專案多一點實質支持與理解，幫他們講話，其實就是為我們自己的數位未來鋪路。

下一次，當你享用由開源技術打造的便利服務時，不妨問自己一句：我們為這個世界的底座，出過一份力了嗎？

資料來源：

延伸閱讀