PHP 拉响安全警报！一次曝出两个严重漏洞，CVSS 评分均达到 9.2 分，官方计划今晚 22 点发布安全补丁。

说起 PHP，我想分享一个很有意思的现象。

配图是我们服务器真实的安全日志。我们的系统明明不是 PHP 开发的，却经常遭到针对 PHP 生态的漏洞扫描。

比如：
/api/.env
/api/vendor/phpunit/phpunit/src/Util/PHP/eval-stdin.php

前者是在尝试获取可能泄露数据库密码等敏感信息的配置文件，后者则是在探测 PHPUnit 早在 2017 年就公开的远程代码执行漏洞。

为什么黑客如此喜欢扫描 PHP 相关系统？

首先是存量太大。根据 W3Techs 统计，全球可识别服务端语言的网站中，接近 70% 使用 PHP。WordPress、各种 CMS、老旧商城，背后都有庞大的 PHP 生态。

其次是生态漏洞多，尤其是第三方插件和历史组件。

根据 Patchstack 发布的《2026 年 WordPress 安全报告》，仅 2025 年，WordPress 生态就发现了 11,334 个新漏洞，同比增长 42%，其中 91% 来自插件。

更麻烦的是，大量老旧系统长期不升级，几年前甚至十年前的漏洞，到今天可能仍然可以利用。

对于黑客来说，PHP 生态目标多、公开漏洞资料多、现成扫描工具多，批量攻击的成本很低。

当然，这并不代表 PHP 语言本身就比 Java、Python、Go 更不安全。

不过，这也让我想到另一个问题：AI 时代，PHP 还能活多久？

现在借助 AI 编程工具，使用 Python、TypeScript、Go 等语言开发网站和后端已经非常高效，PHP 过去引以为傲的开发效率优势正在被削弱。

但我觉得 PHP 很难真正消失。

AI 能快速重写代码，却无法轻易解决历史系统的业务兼容、数据迁移和稳定性问题。全球如此庞大的 PHP 存量市场，决定了它还能存在很多年。

PHP 的黄金时代可能已经过去，但距离被淘汰还很遥远。

真正值得警惕的，不是 PHP 今天又爆出两个 9.2 分漏洞，而是十年前的漏洞，今天可能还有服务器能被打穿。

大家觉得，AI 时代还有必要学习 PHP 吗？

#PHP##网络安全##程序员##AI编程#