开源软件漏洞集中爆发，PHP生态承压

据电子前哨基金会（EFF）10月23日连续发布的两篇博文披露，本周早些时候大量网站突然宕机，引发技术圈对所谓“漏洞末日”（The Vulnerability Apocalypse）的广泛讨论，问题集中指向支撑全球近70%网站的开源编程语言PHP。

EFF指出，仅在10月的最后两周内，就出现多个可能瘫痪整个互联网的高危漏洞被报告并修补，其中不少位于构成互联网基础的开源软件之中。这一密集程度打破了以往重大漏洞“每隔几年才出现一次”的常态。

PHP是什么，为何牵动全局

据EFF介绍，PHP是一种主要用于创建交互式网站的编程语言，Facebook、Wordpress、Wikipedia、Etsy等主要网站都使用或最初基于PHP构建，是Web开发领域长期以来的中坚力量。

但EFF强调，由于PHP是开源的，这些关键系统的维护依赖于少数志愿者在业余时间完成。EFF认为，本周发生的灾难性场景，正是需要更多资金和人员支持开源项目的典型例证。

“由于它是开源的，这些关键系统的维护依赖于少数志愿者在业余时间完成。本周发生的灾难场景，正是我们需要更多资金和人员支持开源项目的完美例证。企业应当同时贡献这两者。”

EFF在另一篇博文中解释称，计算机极客圈普遍认同“没有无漏洞的软件，也没有安全的计算机”，任何被实际使用的软件都必然存在安全漏洞，软件越复杂，出现漏洞的可能性越高。

过去，发现严重漏洞通常被视为一项昂贵且困难的任务，需要多年训练以及对计算机和软件运作方式的深入了解，因此漏洞的发现与修补长期保持稳定节奏。但EFF指出，如今情况已不再如此。

EFF将这一变化归因于前沿AI模型。博文称，由OpenAI、Anthropic等机构创建的AI模型，使得发现漏洞变得“极其便宜和容易”，这被认为是近期高危漏洞集中爆发的直接原因。

EFF两篇博文共同指向一个核心问题：支撑互联网绝大多数流量的开源基础设施，其维护力量却高度集中于少数无偿志愿者。当漏洞发现成本因AI而骤降、攻击面迅速扩大时，这一结构性错配带来的风险被急剧放大。

EFF明确呼吁，企业应当为开源项目同时提供资金和人力支持。这一主张针对的正是那些深度依赖开源软件、却未相应回馈维护工作的商业机构。

EFF在文中还引导读者阅读该系列的第一篇博文，以了解个人可以采取哪些应对措施。截至发稿，EFF未披露具体受影响网站名单及漏洞的完整技术细节。

目前，外界关注焦点包括：本轮漏洞影响的完整范围与修复进展、AI被用于漏洞挖掘后开源社区的安全响应能力，以及企业是否会响应EFF的呼吁、加大对开源项目的资金与人力投入。EFF表示将在系列博文中继续提供相关信息。