PHP 基金會全職員工僅有執行董事一人，另有 14 名大多兼職的承包人，美元帳戶餘額約 38.8 萬美元，每月支出約 10 萬美元上下。漏洞修補發布後捐款才明顯湧入，基金會呼籲企業、主機業者與政府提供持續性的資金。
（前情提要：PHP 基金會認錯：高危漏洞 2024 年就有徵兆，為何修補卡關兩年？）
（背景補充：「偷我比特幣」挑戰，PHP 漏洞主機 19 小時就被攻破）
維護 PHP 程式語言的 PHP 基金會（PHP Foundation），全職員工竟僅有執行董事 Elizabeth Barron 一個人！Barron 在 10 月 23 日接受路透電子郵件專訪時說：「我們有一名全職員工（就是我），和 14 名大多兼職的承包人。」董事沒有薪水，經費全靠捐款與補助。
這場專訪發生在 PHP 於 10 月 21 日緊急修補兩個可遠端執行程式碼的漏洞（外界稱 PHP2Shell）之後兩天。修補為何卡了兩年，我們已另文寫過，這篇來談談錢。
錢有多緊張？看 Open Collective（開源專案的公開帳務網站）上的帳目。PHP 基金會的美元帳戶餘額約 38.8 萬美元，近五個月（6 月到 10 月）每月支出約 10 萬美元上下，Open Collective 估算的年度預算約 102 萬美元。
以每月 10 萬美元粗估，這筆餘額約只夠撐 4 個月。當然，基金會另有歐元帳戶，餘額約 9.99 萬歐元，補助款也不一定經過 Open Collective，實際能撐多久要看基金會自己怎麼算。
撐著近七成網站，為什麼還缺錢？
問題出在錢的來源。基金會沒有固定收入，靠的是捐款與補助，帳目因此起伏很大：6 月收入約 19.7 萬美元，7 月掉到約 3.5 萬美元，9 月僅剩約 1.1 萬美元，10 月到 29 日又衝到約 14.5 萬美元。
AI 又讓這個缺口更難補。Barron 對路透表示，AI 一方面幫研究員找到藏了十年的漏洞，也讓工程師更有效率；另一方面，PHP 收到的程式碼修改提案比一年前多將近一倍，「貢獻者人數卻沒有翻倍」。審查貢獻與錯誤回報，需要「大量的人力投入與經驗」。
基金會的官方部落格給了更具體的數字：從 7 月 1 日起，資安團隊發布了 15 個 CVE（公開漏洞編號），並處理了 100 多份無效、重複或無法重現的回報。AI 能幫忙驗證回報，也能把根本原因相同的回報歸在一起，但每個決定、每個補丁，仍然由人經手。
部落格點出瓶頸：工具會越找越快，回報量會繼續增加，但工具做不到的，是替引擎裡長年的設計問題選出正確的修法、權衡相容性、審查補丁。這些事需要熟悉整個 PHP 程式庫的資深工程師，部落格說這樣的人「現在太少」，而 PHP 本身的資安工作，仍仰賴一小群由基金會出資的開發者。
基金會今年的補人動作：5 月成立生態系資安團隊（Ecosystem Security Team），7 月 Alexandre Daubois 加入協助處理回報，9 月 Daniel Scherzer 加入負責強化。工具面，基金會用 Anthropic 的 Claude Mythos 掃描過 PHP，之後加上 OpenAI 的 Daybreak Red 驗證回報與攻擊程式。2027 年承包人的招募已在 10 月 20 日截止，僅找會 C 語言的核心開發者，並註明「開放申請不保證會聘新人」。
漏洞爆發後，誰掏了錢，夠用嗎？
依 Open Collective 帳目，10 月 1 日到 20 日的收入約 1.28 萬美元；10 月 21 日修補發布後到 29 日，入帳約 13.3 萬美元，九天就是前 20 天的十倍。
大筆款項包括：10 月 21 日 Chainguard 團隊 5 萬美元、10 月 28 日 JetBrains 2.5 萬美元、10 月 21 日 Packagist Conductors 約 1.8 萬美元、10 月 27 日 Shopware 1.2 萬美元，以及 10 月 22 日個人捐款者 Patrick Brunner 1.2 萬美元。
但這夠不夠？以每月 10 萬美元上下的支出對照，這批款項約等於一個多月的開銷（粗估）。而且它多半是單次捐款，不是固定收入；前面提過，今年 9 月整月收入僅約 1.1 萬美元。
基金會把期待分成三類人。第一類是用 PHP 做產品的公司，第二類是把 PHP 送到使用者手上的主機、雲端與發行版業者，第三類是政府與公部門。部落格舉德國的主權科技署（Sovereign Tech Agency）出資 2024 年資安稽核為例，說明公共投資的效果，並表示需要更多、而且是「持續性」的公共資金。
基金會也直接講了錢和這次修補的關係：「沒有基金會的資金，不可能讓好幾個人全職處理這個問題，最後連週末都日夜輪班。」
📍相關報導📍
PHP 又爆新漏洞尚未修補版！官方：風險低，關掉上傳進度最保險
