PHP Foundation

2021年5月，PHP 核心开发者 Joe Watkins 发表博文《Avoiding Busses》后，JetBrains 开始与 Watkins 及 Sebastian Bergmann、Stefan Priebsch 等 PHP 社区成员讨论成立 PHP 基金会；Bergmann 与 Priebsch 曾在2019年尝试成立类似的基金会。最初各方并不急于推进，直到同年 Nikita Popov 决定离开 JetBrains，筹备工作才明显加快。⁠[1][1][1]

2021年11月22日，JetBrains 在其博客发布由 Roman Pronskiy 署名的公告，宣布与 Automattic、Laravel、Acquia、Zend、Private Packagist、Symfony、Craft CMS、Tideways、PrestaShop 共十家公司联合组建 PHP Foundation。公告的直接起因是 PHP 主要贡献者 Nikita Popov 于12月1日离开 JetBrains、转而专注 LLVM，JetBrains 认为失去这样一位贡献者会让 PHP 处于脆弱境地（即“巴士因子”问题）。⁠[2][1][1][1][1][1]

基金会定位为非营利组织，使命是确保 PHP 语言长期存续和繁荣；为尽快启动，各方选择通过 Open Collective 运作，由其处理法律与会计事务。根据各参与公司的认捐，基金会预计每年可募集约30万美元，其中 JetBrains 计划每年出资10万美元。⁠[1][1][1]

成立之初设临时管理层，由赞助方代表和 Rasmus Lerdorf、Dmitry Stogov、Joe Watkins、Sara Golemon、Derick Rethans、Sebastian Bergmann、Nikita Popov 等 PHP 资深开发者组成，负责制定规则与章程。基金会的首要任务是出资聘请开发者参与 PHP 开发，任何 php-src 贡献者都可申请兼职或全职资助，申请期为28天；公告同时说明现行 RFC 程序不变，语言决策始终由 PHP Internals 社区作出。⁠[1][1][1][1][1]

2022年1月，基金会发布首份月度更新：第一轮资助申请已经结束，JetBrains 法务部门与 Open Collective 工作人员协助准备合同等文件；管理层已召开三次会议，决策过程记录在 GitHub 上。除创始公司外，RAKUS、Livesport、OP.GG、Shopware、Aternos 等公司各捐款1万美元以上。⁠[3][3][3][3]

基金会在2021年11月至12月间收到约100份申请，选出6名有长期贡献记录的开发者：Arnaud Le Blanc、Derick Rethans、Gina Peter Banyard、Ilija Tovilo、Jakub Zelenka 和 Máté Kocsis。合同文本谈判持续到2022年3月，6人从4月起以自由职业承包商身份按小时计酬，首期合同为6个月，2023年起改为年度合同。⁠[2][2][2][2][2]

截至2022年11月首份影响与透明度报告发布时，基金会由10名志愿管理者和6名兼职付费开发者组成，全年收到机构捐款58万美元，另有1400人个人捐助；2022年4月至11月，基金会开发者在 php/php-src 仓库提交683次、审查283次，约占该仓库提交与审查的近一半。报告列出2023年计划支出67.8万美元。同年，基金会获 All Things Open 开源奖的 Next Generation Award。⁠[2][2][2][2][2][2]

2023年3月，基金会开通 GitHub Sponsors 收款渠道，所收款项每月转入 Open Collective，开发者报酬仍经 Open Collective 支付。同时设立顾问委员会，作为赞助商与基金会团队之间的沟通渠道，协助确定开发者时间与资源的使用优先级；基金会强调，所有语言决策都经由与基金会无关的 RFC 程序。⁠[4][4][4][4][4]

2023年11月，基金会公布与德国 Sovereign Tech Fund（由德国联邦经济事务和气候行动部资助）合作制定的四个项目工作计划：PECL 改造、FPM 测试工具、安全审计和文档改进。安全审计将与非营利组织 Open Source Technology Improvement Fund（OSTIF）合作，对 PHP 的 C 代码库进行审计，基金会表示预计会发现安全问题，并计划在公布问题的同时完成修复。⁠[5][5][5][5][5]

同期，基金会公开招聘新开发者，共收到207份申请，经筛选确定4人。顾问委员会自同年3月设立以来已有 Moodle、Shopware、Laravel、PrestaShop 等9家公司加入，其意见对属性钩子（Property Hooks）RFC 的设计产生了明显影响。⁠[5][5][5][5][5]

2024年，PHP 接受了多年来首次外部安全审计：基金会从德国 Sovereign Tech Agency 获得资金，经 OSTIF 组织，由安全公司 Quarkslab 执行，审计为期两个月，内容包括威胁建模、人工代码审查、动态测试和密码学评估；因预算所限，只覆盖 PHP 源代码中最关键的部分。⁠[6][7][7]

在修复 Quarkslab 报告的一个问题时，一名受基金会资助的 PHP 核心开发者发现了内存不足（OOM）处理问题的最初迹象，这一问题即后来的 CVE-2026-109618。2024年已有人推测该问题可能被利用，但当时没有找到具体攻击途径，其他影响明确的问题也分散了注意力。⁠[6][6]

2024年1月，David Carlier、James Titcumb、Saki Takamachi 和 Shivam Mathur 4名开发者以兼职身份加入，与2022年4月起签约的6人一起组成基金会开发团队。⁠[8][8]

2024年4月，PHP Foundation 与 Apache 软件基金会、Python 软件基金会、Rust 基金会等开源组织宣布在 Eclipse 基金会主持下合作，按照欧盟《网络韧性法案》（Cyber Resilience Act）的要求制定基于开源最佳实践的安全软件开发规范。⁠[9][9][9]

2024年11月，基金会发布 PHP 扩展安装工具 PIE（PHP Installer for Extensions）的预发布版，目标是取代 PECL，让扩展像普通 PHP 包一样通过 Packagist 分发；PIE 的开发由 Sovereign Tech Agency 委托。⁠[10][10][10][10]

成立三周年时，基金会回顾称，成立前只有两人受薪从事 PHP 开发，此时已有10名工程师；基金会团队参与了 PHP 8.2、8.3、8.4 三个版本，开发了属性钩子、不对称可见性、惰性对象等特性，并称功能开发只占团队工作约20%。同期成果还包括 PHP 仓库贡献总量增长51%以上、完成十年来首次外部安全审计，以及把 PHP 各版本的安全支持期延长一年。⁠[11][11][11][11][11][11]

2025年4月，基金会公布由 Sovereign Tech Agency 委托、Quarkslab 执行的 php-src 安全审计结果：共发现27个问题，其中17个有安全影响（高危3个、中危5个、低危9个），另有10项信息性发现；4个漏洞获得 CVE 编号，包括 PHP-FPM 日志篡改漏洞 CVE-2024-9026、multipart 表单数据解析缺陷 CVE-2024-8925 等。基金会称 PHP 开发团队已处理全部问题。⁠[7][7][7][7][7]

2025年5月，基金会宣布正式支持由 Kévin Dunglas 创建、Les-Tilleuls.coop 赞助的 PHP 应用服务器 FrankenPHP，参与其开发并把代码托管到 PHP 官方 GitHub 组织，治理权仍由原维护者保留。⁠[12][12]

2025年9月，基金会宣布与 AnthropicAnthropicAnthropic是一家于2021年成立的人工智能研究与产品公司，开发Claude模型、助手及Claude Code等工具，并以公益公司形式运营。Dario Amodei与Daniela Amodei为共同创办人，其研究涉及模型安全、可解释性和可控性。点击查看完整词条 的 MCP 团队及 Symfony 合作开发模型上下文协议（Model Context Protocol）的官方 PHP SDK，由 Symfony 团队担任主要维护者。⁠[13][13]

同月，参与创立基金会的 Joe Watkins 以合同开发者身份加入，任期为2025年下半年。他表示，基金会成立时着眼于提高 PHP 的“巴士因子”，如今这已不再是主要问题，但基金会尚未形成路线图，他希望在赞助方与开发者之间充当沟通桥梁。⁠[14][14][14][14][14]

2025年11月，基金会宣布创始执行董事 Roman Pronskiy 将于2026年初卸任，以专注其在 JetBrains 的职务，但会继续作为 JetBrains 代表留任理事会；理事会组成由 Sebastian Bergmann、Nils Adermann 与社区代表 Lorna Jane Mitchell、Ben Ramsey 参加的遴选委员会。招聘说明写明，执行董事以承包商身份受聘于 Open Source Collective，总薪酬为9万至16万美元。⁠[15][15][15][15][15][15]

2026年2月27日，基金会宣布 Elizabeth Barron 出任执行董事。Barron 曾联合创办支持 PHP 行业女性与非二元性别者的志愿非营利组织，曾任 GitHub 社区经理并主导 Patchwork 等开发者外联项目，也参与过开源社区健康指标项目 CHAOSS。⁠[16][16]

2026年3月，Laravel 专家 Matt Stauffer 经现任理事表决，以社区代表身份加入理事会。⁠[17][17]

2026年5月，基金会宣布获得 Alpha-Omega 资助，成立 PHP 生态安全团队（Ecosystem Security Team），协助 PHP 生态各项目的维护者分流漏洞报告，并负责任地披露漏洞、推广安全工具。基金会指出，借助 AI 的新型安全工具加快了漏洞发现，同时许多项目收到的漏洞报告激增，其中不少带有“偷懒的 AI 生成”痕迹。⁠[18][18][18][18][18]

这笔资助设立一个为期六个月的全职职位“PHP Foundation 驻会生态 AI 安全工程师”，理事会一致表决由 PHP 8.5 发布经理之一 Volker Dusch 担任。⁠[18][18][18]

2025年，PHP 项目在基金会支持下发布 PHP 8.5，基金会推出 PIE 1.0 并启动 PHP 流（streams）层现代化项目，其开发者约占 PHP 核心全部提交的42%；当年获得赞助与个人捐款共730,534美元。截至2025年底，基金会由8名志愿理事、一名由 JetBrains 赞助的执行董事和11名签约开发者组成。基金会于2026年5月发布的年度报告还重申，基金会不控制 PHP 社区对语言的决策，也不对语言本身行使治理权。⁠[19][19][19][19]

2026年7月，基金会表示 AI 工具使提交给 php-src 的安全报告明显增多，处理这些报告的团队人手很少，于是聘请 Les-Tilleuls.coop 首席技术官 Alexandre Daubois 每周投入数小时，协助分流、处理和修复安全报告。⁠[20][20][20]

2026年8月，理事会一致决定吸收 Automattic 架构师兼开源总监 Anne McCarthy 作为白金赞助商代表加入理事会。⁠[21]

基金会把 PHP 纳入 Patch the Planet 计划，安全公司 Calif 据此于2026年7月30日开始审计 PHP。8月11日，Calif 研究员 Ryan A 报告了一个无条件远程代码执行漏洞，其根源与基金会2024年发现的 OOM 问题相同；OpenAIOpenAIOpenAI是2015年创立的人工智能研究与产品机构，开发GPT系列模型、ChatGPT、Codex及开发者API，并开展图像、语音、视频与智能代理研究。2025年重组后，非营利的OpenAI Foundation继续控制营利主体OpenAI Group PBC。其发展涉及大规模融资与算力合作，也伴随治理、版权、隐私及人工智能安全争议。点击查看完整词条 也独立报告了同一根源，Wiz 与 OpenAI 又分别在8月24日和9月18日报告了更多攻击途径。基金会表示，这些报告让 OOM 问题的全部影响变得清楚，自8月11日起修复该问题成为基金会安全团队的首要任务，多人全职投入，最终连周末也昼夜工作。⁠[6][6][6][6][6]

2026年9月，Roman Pronskiy 任期届满离开理事会，JetBrains 的 PHP 开发者布道师 Brent Roose 经现任理事一致表决接任 JetBrains 白金赞助商席位。⁠[22][22][22]

同月，PHP 8.5 发布经理、Reflection 扩展维护者 Daniel Scherzer 在 Alpha-Omega 资助下短期加入生态安全团队，负责不构成安全漏洞但能加固 PHP 的问题。⁠[23][23][23]

2026年10月，Alexandre Daubois 撰文说明 PHP 安全团队的工作方式：该团队由社区成员和基金会资助的开发者组成，独立于基金会运作，生态安全团队与之协作；自7月1日起团队已发布15个 CVE，并关闭106份经判定不构成漏洞、重复或无法复现的报告。PHP Group 自2019年起是以 php-src 为范围的 CVE 编号机构，可自行分配 CVE 编号。⁠[24][24][24]

协调披露原定于2026年10月22日14:00（UTC）发布修复版本。10月20日约15:00（UTC），两个 CVE 编号开始在网络论坛和社交媒体流传，附带错误的发布时间和错误的 CVSS 10.0 分（实际为9.2分），但没有泄露技术细节。PHP 项目随即于19:30（UTC）提前发布预告，并把发布时间提前一天至10月21日14:00（UTC）。⁠[6][6]

预告发布后，曾报告漏洞的 Calif 误将一段展示其概念验证攻击效果的视频公开，视频删除后副本仍在社交媒体传播，加速了各类概念验证代码的出现。10月21日07:41（UTC），即协调发布前六个多小时，Chainguard 单方面打破禁令，发布了包含修复的镜像；基金会批评此举使攻击者可以在其他用户仍在等待时研究二进制形式的修复。⁠[6][6][6][6]

2026年10月21日，PHP 项目发布 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修复两个可让未经身份验证的攻击者在服务器上执行代码的严重漏洞：CVE-2026-109618 源于内存不足处理会在内部请求数据只初始化了一部分时中断 PHP，在 Apache 的 mod_php 下，未经身份验证的请求可在任何应用代码运行前触发，并在默认设置下实现完整的远程代码执行；CVE-2026-109619 源于请求所属的内部状态在内存释放后仍被保留，后续请求可能使用这一过期状态。所有处理网页请求的 PHP 安装都面临风险，其中 mod_php 风险最高；PHP 项目表示没有完整的缓解措施，升级是唯一安全的选择。⁠[25][25][6][25][25][25][25]

同日，基金会发文回顾修复经过：两个漏洞位于几乎每个请求都会经过的内存管理和错误处理部分，因此既严重又难以在不破坏兼容性、不损害性能、不迫使大量第三方扩展改动的情况下修复。针对 OOM 问题，PHP 安全团队提出了几种互相竞争的方案，但各有代价；以共识方式运作的安全团队难以取舍，担心选错方案的后果，加上当时不知道存在远程代码执行途径、掌握引擎深层知识的核心开发者人数少且事务繁多，修复工作在数月间多次停滞又重启。基金会写道：“我们不会假装事实并非如此：这次延误是结构性失误，原因既在于安全团队的决策流程，也在于它缺乏资源。”（原文：We won’t pretend otherwise: the delay was a structural failure, caused by both the security team’s decision process and its lack of resources.）⁠[6][6][6][6][6][6]

基金会表示，安全团队已开始调整流程，使决定可以按多数作出并鼓励折中；今后遇到修复卡在艰难取舍上的严重漏洞，会更早上报基金会领导层。文章还提到，基金会此前与 Alpha-Omega 合作使用 Anthropic 的 Claude Mythos 扫描 PHP，此后又引入 OpenAI 的 Daybreak Red 等工具验证报告与漏洞利用。基金会呼吁依赖 PHP 的企业、托管商、云平台和政府机构持续出资，称 PHP 本身的安全工作仍依赖少数受基金会资助的开发者和少量志愿者。⁠[6][6][6][6][6]

基金会的工作由四个部分承担：理事会（Governing Board）负责战略方向和最终决策；执行董事负责日常运营，是理事会与开发者之间的桥梁；顾问委员会由主要赞助商和受邀社区人士组成，只提供意见、没有决策权；签约开发者负责 PHP 核心开发、缺陷与安全修复等技术工作。理事会规模为5至10人，白金赞助商最多3席、社区代表至少3席，理事任期3年，均为无偿志愿服务；一般事项以简单多数通过，战略事项须获全体理事三分之二多数。⁠[26][26][26][26][26][26][26]

基金会以 Open Source Collective 为财务托管方，由其处理资金往来、捐款和法律合规；Open Source Collective 是设在美国的501(c)(6)非营利组织。截至2026年10月，理事会成员包括 Sebastian Bergmann、Nils Adermann（Private Packagist）、Benjamin Eberlei（Tideways）、Nicolas Grekas（Symfony）、Sara Golemon、Matthew Weier O’Phinney（Perforce）、Matt Stauffer、Anne McCarthy（Automattic）和 Brent Roose（JetBrains）等，执行董事为 Elizabeth Barron；基金会签约13名全职和兼职工程师，Rasmus Lerdorf、Dmitry Stogov、Nikita Popov 为 PHP Fellows。⁠[26][15][27][27][27][27][27][27]

基金会的收入来自企业会员和个人捐助：企业会员分 Silver（每年1.2万美元）、Gold（每年2.4万美元）和 Platinum（每年10万美元）三档，Silver 及以上会员可获得顾问委员会席位。截至2026年10月，Open Collective 公开账目显示累计募资约305.5万美元、累计支出约270.3万美元；累计出资最多的机构依次为 Automattic（76.25万美元）、JetBrains（约47.7万美元）、Sovereign Tech Fund（约21.4万美元）和 Linux Foundation（18.35万美元）。⁠[28][28][28][28][29][29]

PHP Foundation：官网：https://thephp.foundation/（在新窗口打开）。⁠[30]

X：公开账号：https://x.com/thephpf（在新窗口打开）⁠[31]

LinkedInLinkedInLinkedIn 是面向职场人士的社交网络平台，2002年由 Reid Hoffman 等人创立、2003年上线，2011年在纽约证券交易所上市，2016年被 Microsoft 以约262亿美元收购后成为其全资子公司，收入来自会员订阅、广告和招聘解决方案。点击查看完整词条：公开主页：https://www.linkedin.com/company/phpfoundation/（在新窗口打开）⁠[31]