開源軟件漏洞集中爆發，PHP生態承壓

據電子前哨基金會（EFF）10月23日連續發佈的兩篇博文披露，本週早些時候大量網站突然宕機，引發技術圈對所謂“漏洞末日”（The Vulnerability Apocalypse）的廣泛討論，問題集中指向支撐全球近70%網站的開源編程語言PHP。

EFF指出，僅在10月的最後兩周內，就出現多個可能癱瘓整個互聯網的高危漏洞被報告並修補，其中不少位於構成互聯網基礎的開源軟件之中。這一密集程度打破了以往重大漏洞“每隔幾年才出現一次”的常態。

PHP是甚麼，為何牽動全局

據EFF介紹，PHP是一種主要用於創建交互式網站的編程語言，Facebook、Wordpress、Wikipedia、Etsy等主要網站都使用或最初基於PHP構建，是Web開發領域長期以來的中堅力量。

但EFF強調，由於PHP是開源的，這些關鍵系統的維護依賴於少數志願者在業餘時間完成。EFF認為，本週發生的災難性場景，正是需要更多資金和人員支持開源項目的典型例證。

“由於它是開源的，這些關鍵系統的維護依賴於少數志願者在業餘時間完成。本週發生的災難場景，正是我們需要更多資金和人員支持開源項目的完美例證。企業應當同時貢獻這兩者。”

EFF在另一篇博文中解釋稱，計算機極客圈普遍認同“沒有無漏洞的軟件，也沒有安全的計算機”，任何被實際使用的軟件都必然存在安全漏洞，軟件越複雜，出現漏洞的可能性越高。

過去，發現嚴重漏洞通常被視為一項昂貴且困難的任務，需要多年訓練以及對計算機和軟件運作方式的深入瞭解，因此漏洞的發現與修補長期保持穩定節奏。但EFF指出，如今情況已不再如此。

EFF將這一變化歸因於前沿AI模型。博文稱，由OpenAI、Anthropic等機構創建的AI模型，使得發現漏洞變得“極其便宜和容易”，這被認為是近期高危漏洞集中爆發的直接原因。

EFF兩篇博文共同指向一個核心問題：支撐互聯網絕大多數流量的開源基礎設施，其維護力量卻高度集中於少數無償志願者。當漏洞發現成本因AI而驟降、攻擊面迅速擴大時，這一結構性錯配帶來的風險被急劇放大。

EFF明確呼籲，企業應當為開源項目同時提供資金和人力支持。這一主張針對的正是那些深度依賴開源軟件、卻未相應回饋維護工作的商業機構。

EFF在文中還引導讀者閱讀該系列的第一篇博文，以瞭解個人可以採取哪些應對措施。截至發稿，EFF未披露具體受影響網站名單及漏洞的完整技術細節。

目前，外界關注焦點包括：本輪漏洞影響的完整範圍與修復進展、AI被用於漏洞挖掘後開源社區的安全響應能力，以及企業是否會響應EFF的呼籲、加大對開源項目的資金與人力投入。EFF表示將在系列博文中繼續提供相關信息。