诞生超过30年、至今仍广泛用于网站开发的PHP，近日曝出严重的Php2Shell漏洞，再次引发业界对其安全性和技术债的关注。

自1999年起开始编写PHP代码的开发者Jan Kammerath，日前在Medium发文称，Php2Shell只是PHP多年历史包袱被进一步暴露的开始，并以“Php2Shell很严重？PHP很快会血流成河”为题发出警告。

据介绍，Php2Shell属于PHP运行时层面的漏洞，涉及CVE-2026-109618和CVE-2026-109619。Jan Kammerath认为，正因为问题出在运行时本身，其影响范围可能覆盖几乎所有PHP代码库。

在他看来，AI是当前最关键的变量。过去，安全研究人员往往缺乏足够的时间和预算，对PHP进行深入审计；但随着AI驱动的安全研究持续演进，重新系统性审视PHP长期积累的问题已变得更加可行。

他进一步指出，在AI加持下，针对PHP的安全研究强度还会继续上升，这将使PHP维护者长期面临更高的安全和维护成本。

Jan Kammerath还认为，PHP的问题不只在于单一漏洞，其设计思路本身也存在局限。PHP最初追求的是让初学者尽可能容易上手Web开发，但在满足部分功能诉求的过程中，也在一定程度上以安全性为代价。

他表示，即便用Go或Rust等更安全的语言重写PHP，许多源于早期设计的结构性问题也未必会自然消失。与此同时，Web开发需求爆发时期留下的大量低质量代码至今仍在运行，其中不少都是由经验不足的开发者通过复制粘贴快速拼接而成。

除安全问题外，他还认为PHP生态与云时代的需求并不匹配。上世纪末至本世纪初，Linux、Apache、MySQL与PHP组成的LAMP曾是Web开发主流方案，但直到今天，这套组合仍被许多PHP应用视为默认架构。

在Jan Kammerath看来，在高可用生产环境中维护PHP应用，往往不能只依赖PHP本身，还需要额外使用Go编写大量辅助程序。他直言，PHP在入门阶段确实易于上手，但一旦进入大规模服务运维场景，却可能成为运维端最棘手的技术栈之一；开发端获得了便利，稳定性压力却常常转移到了运维端。

他同时表示，PHP过去的成本优势也在减弱。相比C++，PHP曾因开发效率更高、投入更低而具备明显优势；但随着AI编程工具普及，在某些场景下，使用Rust或Go开发反而可能更快。另一方面，作为解释型语言，PHP本身也需要消耗更多内存和计算资源，这进一步推高了运行成本。

Jan Kammerath强调，他尊重那些能够写出高质量PHP代码的开发者，也不认为PHP会在短时间内“突然消失”。在他看来，PHP更可能像Fortran和COBOL一样，长期存在，却逐渐淡出主流视野。他还指出，很多场景中，企业之所以继续使用PHP，往往是因为需要WordPress，而不是开发者主动选择PHP。对于仍以PHP为主要技术栈的开发者而言，现在应开始认真考虑迁移路径，逐步将应用转向Rust或Go，这对客户可能是更合适的选择。