PHP Foundation

2021年5月，PHP 核心開發者 Joe Watkins 發表博文《Avoiding Busses》後，JetBrains 開始與 Watkins 及 Sebastian Bergmann、Stefan Priebsch 等 PHP 社區成員討論成立 PHP 基金會；Bergmann 與 Priebsch 曾在2019年嘗試成立類似的基金會。最初各方並不急於推進，直到同年 Nikita Popov 決定離開 JetBrains，籌備工作才明顯加快。⁠[1][1][1]

2021年11月22日，JetBrains 在其博客發佈由 Roman Pronskiy 署名的公告，宣佈與 Automattic、Laravel、Acquia、Zend、Private Packagist、Symfony、Craft CMS、Tideways、PrestaShop 共十家公司聯合組建 PHP Foundation。公告的直接起因是 PHP 主要貢獻者 Nikita Popov 於12月1日離開 JetBrains、轉而專注 LLVM，JetBrains 認為失去這樣一位貢獻者會讓 PHP 處於脆弱境地（即“巴士因子”問題）。⁠[2][1][1][1][1][1]

基金會定位為非營利組織，使命是確保 PHP 語言長期存續和繁榮；為儘快啟動，各方選擇通過 Open Collective 運作，由其處理法律與會計事務。根據各參與公司的認捐，基金會預計每年可募集約30萬美元，其中 JetBrains 計劃每年出資10萬美元。⁠[1][1][1]

成立之初設臨時管理層，由贊助方代表和 Rasmus Lerdorf、Dmitry Stogov、Joe Watkins、Sara Golemon、Derick Rethans、Sebastian Bergmann、Nikita Popov 等 PHP 資深開發者組成，負責制定規則與章程。基金會的首要任務是出資聘請開發者參與 PHP 開發，任何 php-src 貢獻者都可申請兼職或全職資助，申請期為28天；公告同時說明現行 RFC 程序不變，語言決策始終由 PHP Internals 社區作出。⁠[1][1][1][1][1]

2022年1月，基金會發布首份月度更新：第一輪資助申請已經結束，JetBrains 法務部門與 Open Collective 工作人員協助準備合同等文件；管理層已召開三次會議，決策過程記錄在 GitHub 上。除創始公司外，RAKUS、Livesport、OP.GG、Shopware、Aternos 等公司各捐款1萬美元以上。⁠[3][3][3][3]

基金會在2021年11月至12月間收到約100份申請，選出6名有長期貢獻記錄的開發者：Arnaud Le Blanc、Derick Rethans、Gina Peter Banyard、Ilija Tovilo、Jakub Zelenka 和 Máté Kocsis。合同文本談判持續到2022年3月，6人從4月起以自由職業承包商身份按小時計酬，首期合同為6個月，2023年起改為年度合同。⁠[2][2][2][2][2]

截至2022年11月首份影響與透明度報告發布時，基金會由10名志願管理者和6名兼職付費開發者組成，全年收到機構捐款58萬美元，另有1400人個人捐助；2022年4月至11月，基金會開發者在 php/php-src 倉庫提交683次、審查283次，約佔該倉庫提交與審查的近一半。報告列出2023年計劃支出67.8萬美元。同年，基金會獲 All Things Open 開源獎的 Next Generation Award。⁠[2][2][2][2][2][2]

2023年3月，基金會開通 GitHub Sponsors 收款渠道，所收款項每月轉入 Open Collective，開發者報酬仍經 Open Collective 支付。同時設立顧問委員會，作為贊助商與基金會團隊之間的溝通渠道，協助確定開發者時間與資源的使用優先級；基金會強調，所有語言決策都經由與基金會無關的 RFC 程序。⁠[4][4][4][4][4]

2023年11月，基金會公佈與德國 Sovereign Tech Fund（由德國聯邦經濟事務和氣候行動部資助）合作制定的四個項目工作計劃：PECL 改造、FPM 測試工具、安全審計和文檔改進。安全審計將與非營利組織 Open Source Technology Improvement Fund（OSTIF）合作，對 PHP 的 C 代碼庫進行審計，基金會表示預計會發現安全問題，並計劃在公佈問題的同時完成修復。⁠[5][5][5][5][5]

同期，基金會公開招聘新開發者，共收到207份申請，經篩選確定4人。顧問委員會自同年3月設立以來已有 Moodle、Shopware、Laravel、PrestaShop 等9家公司加入，其意見對屬性鉤子（Property Hooks）RFC 的設計產生了明顯影響。⁠[5][5][5][5][5]

2024年，PHP 接受了多年來首次外部安全審計：基金會從德國 Sovereign Tech Agency 獲得資金，經 OSTIF 組織，由安全公司 Quarkslab 執行，審計為期兩個月，內容包括威脅建模、人工代碼審查、動態測試和密碼學評估；因預算所限，只覆蓋 PHP 源代碼中最關鍵的部分。⁠[6][7][7]

在修復 Quarkslab 報告的一個問題時，一名受基金會資助的 PHP 核心開發者發現了內存不足（OOM）處理問題的最初跡象，這一問題即後來的 CVE-2026-109618。2024年已有人推測該問題可能被利用，但當時沒有找到具體攻擊途徑，其他影響明確的問題也分散了注意力。⁠[6][6]

2024年1月，David Carlier、James Titcumb、Saki Takamachi 和 Shivam Mathur 4名開發者以兼職身份加入，與2022年4月起簽約的6人一起組成基金會開發團隊。⁠[8][8]

2024年4月，PHP Foundation 與 Apache 軟件基金會、Python 軟件基金會、Rust 基金會等開源組織宣佈在 Eclipse 基金會主持下合作，按照歐盟《網絡韌性法案》（Cyber Resilience Act）的要求制定基於開源最佳實踐的安全軟件開發規範。⁠[9][9][9]

2024年11月，基金會發布 PHP 擴展安裝工具 PIE（PHP Installer for Extensions）的預發佈版，目標是取代 PECL，讓擴展像普通 PHP 包一樣通過 Packagist 分發；PIE 的開發由 Sovereign Tech Agency 委託。⁠[10][10][10][10]

成立三週年時，基金會回顧稱，成立前只有兩人受薪從事 PHP 開發，此時已有10名工程師；基金會團隊參與了 PHP 8.2、8.3、8.4 三個版本，開發了屬性鉤子、不對稱可見性、惰性對象等特性，並稱功能開發只佔團隊工作約20%。同期成果還包括 PHP 倉庫貢獻總量增長51%以上、完成十年來首次外部安全審計，以及把 PHP 各版本的安全支持期延長一年。⁠[11][11][11][11][11][11]

2025年4月，基金會公佈由 Sovereign Tech Agency 委託、Quarkslab 執行的 php-src 安全審計結果：共發現27個問題，其中17個有安全影響（高危3個、中危5個、低危9個），另有10項信息性發現；4個漏洞獲得 CVE 編號，包括 PHP-FPM 日誌篡改漏洞 CVE-2024-9026、multipart 表單數據解析缺陷 CVE-2024-8925 等。基金會稱 PHP 開發團隊已處理全部問題。⁠[7][7][7][7][7]

2025年5月，基金會宣佈正式支持由 Kévin Dunglas 創建、Les-Tilleuls.coop 贊助的 PHP 應用服務器 FrankenPHP，參與其開發並把代碼託管到 PHP 官方 GitHub 組織，治理權仍由原維護者保留。⁠[12][12]

2025年9月，基金會宣佈與 AnthropicAnthropicAnthropic是一家於2021年成立的人工智能研究與產品公司，開發Claude模型、助手及Claude Code等工具，並以公益公司形式運營。Dario Amodei與Daniela Amodei為共同創辦人，其研究涉及模型安全、可解釋性和可控性。點擊查看完整詞條 的 MCP 團隊及 Symfony 合作開發模型上下文協議（Model Context Protocol）的官方 PHP SDK，由 Symfony 團隊擔任主要維護者。⁠[13][13]

同月，參與創立基金會的 Joe Watkins 以合同開發者身份加入，任期為2025年下半年。他表示，基金會成立時著眼於提高 PHP 的“巴士因子”，如今這已不再是主要問題，但基金會尚未形成路線圖，他希望在贊助方與開發者之間充當溝通橋梁。⁠[14][14][14][14][14]

2025年11月，基金會宣佈創始執行董事 Roman Pronskiy 將於2026年初卸任，以專注其在 JetBrains 的職務，但會繼續作為 JetBrains 代表留任理事會；理事會組成由 Sebastian Bergmann、Nils Adermann 與社區代表 Lorna Jane Mitchell、Ben Ramsey 參加的遴選委員會。招聘說明寫明，執行董事以承包商身份受聘於 Open Source Collective，總薪酬為9萬至16萬美元。⁠[15][15][15][15][15][15]

2026年2月27日，基金會宣佈 Elizabeth Barron 出任執行董事。Barron 曾聯合創辦支持 PHP 行業女性與非二元性別者的志願非營利組織，曾任 GitHub 社區經理並主導 Patchwork 等開發者外聯項目，也參與過開源社區健康指標項目 CHAOSS。⁠[16][16]

2026年3月，Laravel 專家 Matt Stauffer 經現任理事表決，以社區代表身份加入理事會。⁠[17][17]

2026年5月，基金會宣佈獲得 Alpha-Omega 資助，成立 PHP 生態安全團隊（Ecosystem Security Team），協助 PHP 生態各項目的維護者分流漏洞報告，並負責任地披露漏洞、推廣安全工具。基金會指出，藉助 AI 的新型安全工具加快了漏洞發現，同時許多項目收到的漏洞報告激增，其中不少帶有“偷懶的 AI 生成”痕跡。⁠[18][18][18][18][18]

這筆資助設立一個為期六個月的全職職位“PHP Foundation 駐會生態 AI 安全工程師”，理事會一致表決由 PHP 8.5 發佈經理之一 Volker Dusch 擔任。⁠[18][18][18]

2025年，PHP 項目在基金會支持下發布 PHP 8.5，基金會推出 PIE 1.0 並啟動 PHP 流（streams）層現代化項目，其開發者約佔 PHP 核心全部提交的42%；當年獲得贊助與個人捐款共730,534美元。截至2025年底，基金會由8名志願理事、一名由 JetBrains 贊助的執行董事和11名簽約開發者組成。基金會於2026年5月發佈的年度報告還重申，基金會不控制 PHP 社區對語言的決策，也不對語言本身行使治理權。⁠[19][19][19][19]

2026年7月，基金會表示 AI 工具使提交給 php-src 的安全報告明顯增多，處理這些報告的團隊人手很少，於是聘請 Les-Tilleuls.coop 首席技術官 Alexandre Daubois 每週投入數小時，協助分流、處理和修復安全報告。⁠[20][20][20]

2026年8月，理事會一致決定吸收 Automattic 架構師兼開源總監 Anne McCarthy 作為白金贊助商代表加入理事會。⁠[21]

基金會把 PHP 納入 Patch the Planet 計劃，安全公司 Calif 據此於2026年7月30日開始審計 PHP。8月11日，Calif 研究員 Ryan A 報告了一個無條件遠程代碼執行漏洞，其根源與基金會2024年發現的 OOM 問題相同；OpenAIOpenAIOpenAI是2015年創立的人工智能研究與產品機構，開發GPT系列模型、ChatGPT、Codex及開發者API，並開展圖像、語音、視頻與智能代理研究。2025年重組後，非營利的OpenAI Foundation繼續控制營利主體OpenAI Group PBC。其發展涉及大規模融資與算力合作，也伴隨治理、版權、隱私及人工智能安全爭議。點擊查看完整詞條 也獨立報告了同一根源，Wiz 與 OpenAI 又分別在8月24日和9月18日報告了更多攻擊途徑。基金會表示，這些報告讓 OOM 問題的全部影響變得清楚，自8月11日起修復該問題成為基金會安全團隊的首要任務，多人全職投入，最終連週末也晝夜工作。⁠[6][6][6][6][6]

2026年9月，Roman Pronskiy 任期屆滿離開理事會，JetBrains 的 PHP 開發者佈道師 Brent Roose 經現任理事一致表決接任 JetBrains 白金贊助商席位。⁠[22][22][22]

同月，PHP 8.5 發佈經理、Reflection 擴展維護者 Daniel Scherzer 在 Alpha-Omega 資助下短期加入生態安全團隊，負責不構成安全漏洞但能加固 PHP 的問題。⁠[23][23][23]

2026年10月，Alexandre Daubois 撰文說明 PHP 安全團隊的工作方式：該團隊由社區成員和基金會資助的開發者組成，獨立於基金會運作，生態安全團隊與之協作；自7月1日起團隊已發佈15個 CVE，並關閉106份經判定不構成漏洞、重複或無法復現的報告。PHP Group 自2019年起是以 php-src 為範圍的 CVE 編號機構，可自行分配 CVE 編號。⁠[24][24][24]

協調披露原定於2026年10月22日14:00（UTC）發佈修復版本。10月20日約15:00（UTC），兩個 CVE 編號開始在網絡論壇和社交媒體流傳，附帶錯誤的發佈時間和錯誤的 CVSS 10.0 分（實際為9.2分），但沒有洩露技術細節。PHP 項目隨即於19:30（UTC）提前發佈預告，並把發佈時間提前一天至10月21日14:00（UTC）。⁠[6][6]

預告發布後，曾報告漏洞的 Calif 誤將一段展示其概念驗證攻擊效果的視頻公開，視頻刪除後副本仍在社交媒體傳播，加速了各類概念驗證代碼的出現。10月21日07:41（UTC），即協調發布前六個多小時，Chainguard 單方面打破禁令，發佈了包含修復的鏡像；基金會批評此舉使攻擊者可以在其他用戶仍在等待時研究二進制形式的修復。⁠[6][6][6][6]

2026年10月21日，PHP 項目發佈 PHP 8.5.12、8.4.27、8.3.36 和 8.2.35，修復兩個可讓未經身份驗證的攻擊者在服務器上執行代碼的嚴重漏洞：CVE-2026-109618 源於內存不足處理會在內部請求數據只初始化了一部分時中斷 PHP，在 Apache 的 mod_php 下，未經身份驗證的請求可在任何應用代碼運行前觸發，並在默認設置下實現完整的遠程代碼執行；CVE-2026-109619 源於請求所屬的內部狀態在內存釋放後仍被保留，後續請求可能使用這一過期狀態。所有處理網頁請求的 PHP 安裝都面臨風險，其中 mod_php 風險最高；PHP 項目表示沒有完整的緩解措施，升級是唯一安全的選擇。⁠[25][25][6][25][25][25][25]

同日，基金會發文回顧修復經過：兩個漏洞位於幾乎每個請求都會經過的內存管理和錯誤處理部分，因此既嚴重又難以在不破壞兼容性、不損害性能、不迫使大量第三方擴展改動的情況下修復。針對 OOM 問題，PHP 安全團隊提出了幾種互相競爭的方案，但各有代價；以共識方式運作的安全團隊難以取捨，擔心選錯方案的後果，加上當時不知道存在遠程代碼執行途徑、掌握引擎深層知識的核心開發者人數少且事務繁多，修復工作在數月間多次停滯又重啟。基金會寫道：“我們不會假裝事實並非如此：這次延誤是結構性失誤，原因既在於安全團隊的決策流程，也在於它缺乏資源。”（原文：We won’t pretend otherwise: the delay was a structural failure, caused by both the security team’s decision process and its lack of resources.）⁠[6][6][6][6][6][6]

基金會表示，安全團隊已開始調整流程，使決定可以按多數作出並鼓勵折中；今後遇到修復卡在艱難取捨上的嚴重漏洞，會更早上報基金會領導層。文章還提到，基金會此前與 Alpha-Omega 合作使用 Anthropic 的 Claude Mythos 掃描 PHP，此後又引入 OpenAI 的 Daybreak Red 等工具驗證報告與漏洞利用。基金會呼籲依賴 PHP 的企業、託管商、雲平臺和政府機構持續出資，稱 PHP 本身的安全工作仍依賴少數受基金會資助的開發者和少量志願者。⁠[6][6][6][6][6]

基金會的工作由四個部分承擔：理事會（Governing Board）負責戰略方向和最終決策；執行董事負責日常運營，是理事會與開發者之間的橋梁；顧問委員會由主要贊助商和受邀社區人士組成，只提供意見、沒有決策權；簽約開發者負責 PHP 核心開發、缺陷與安全修復等技術工作。理事會規模為5至10人，白金贊助商最多3席、社區代表至少3席，理事任期3年，均為無償志願服務；一般事項以簡單多數通過，戰略事項須獲全體理事三分之二多數。⁠[26][26][26][26][26][26][26]

基金會以 Open Source Collective 為財務託管方，由其處理資金往來、捐款和法律合規；Open Source Collective 是設在美國的501(c)(6)非營利組織。截至2026年10月，理事會成員包括 Sebastian Bergmann、Nils Adermann（Private Packagist）、Benjamin Eberlei（Tideways）、Nicolas Grekas（Symfony）、Sara Golemon、Matthew Weier O’Phinney（Perforce）、Matt Stauffer、Anne McCarthy（Automattic）和 Brent Roose（JetBrains）等，執行董事為 Elizabeth Barron；基金會簽約13名全職和兼職工程師，Rasmus Lerdorf、Dmitry Stogov、Nikita Popov 為 PHP Fellows。⁠[26][15][27][27][27][27][27][27]

基金會的收入來自企業會員和個人捐助：企業會員分 Silver（每年1.2萬美元）、Gold（每年2.4萬美元）和 Platinum（每年10萬美元）三檔，Silver 及以上會員可獲得顧問委員會席位。截至2026年10月，Open Collective 公開賬目顯示累計募資約305.5萬美元、累計支出約270.3萬美元；累計出資最多的機構依次為 Automattic（76.25萬美元）、JetBrains（約47.7萬美元）、Sovereign Tech Fund（約21.4萬美元）和 Linux Foundation（18.35萬美元）。⁠[28][28][28][28][29][29]

PHP Foundation：官網：https://thephp.foundation/（在新窗口打開）。⁠[30]

X：公開賬號：https://x.com/thephpf（在新窗口打開）⁠[31]

LinkedInLinkedInLinkedIn 是面向職場人士的社交網絡平臺，2002年由 Reid Hoffman 等人創立、2003年上線，2011年在紐約證券交易所上市，2016年被 Microsoft 以約262億美元收購後成為其全資子公司，收入來自會員訂閱、廣告和招聘解決方案。點擊查看完整詞條：公開主頁：https://www.linkedin.com/company/phpfoundation/（在新窗口打開）⁠[31]