10月下旬这波PHP2Shell风暴，大概是PHP这三十年来最魔幻的一次出圈：官方紧急发布两枚补丁，封掉两个CVSS评分9.2的远程代码执行漏洞，php-src仓库顺势冲上GitHub日榜第一，一门1994年出生的老语言突然成了全球程序员的焦点。而比漏洞更让圈外意外的，是一个被唱衰二十多年的事实：全球约70%的网站背后，至今跑着PHP。知乎知乎知乎小红书
为什么"该死的PHP"死不掉
知乎上有句被疯转的话说得挺损：“当年被说服去学ColdFusion和AngularJS的兄弟，现在还过得好吗？而那个’明天就死’的PHP，还稳稳跑在生产环境里，没人动它”。知乎
骂它的人忽略的是，PHP赢的根本不是优雅，是成本。一位老开发者算过一笔账：一台2核4G的服务器，用PHP-FPM能同时跑几百个项目demo，哪个项目真挣钱了再独立出去就好。这种"用完即释放"，对小生意就是降维打击。WordPress、Discuz、电商后台、政府老系统，存量大到没人敢轻易动。知乎
还有个常见误读：很多人觉得前后端分离年代PHP是"旧时代的船"。实际上分离是架构模式，PHP完全可以作为纯粹的API后端运行。它跟Laravel、Vue的组合，至今是国内外包和中小团队的主力方案。知乎
但争议也是真的：存量能打，增量在缩
别急着高兴，评论区同样有冷静派："看存量市场PHP应该还能打，看增量市场的话确实已经不行了。“也有答主吐槽，最近俩月招聘市场"爬虫岗都比PHP岗多”。证据摆到这，结论只能说到这：PHP不是雪崩式死亡，而是两极分化——新项目选型越来越少有人主动选它，但存量和快速交付业务离不开它。这次漏洞事件反而像个证明：用得少≠不重要，七成网站的风险敞口不会因为技术圈沉默就消失。知乎
语言本身没躺平：PHP 8.6下月发布
真正该关注的是PHP还在进化。PHP 8.6将于2026年11月19日正式发布。这版是"小版本"，但清单很务实：部分函数应用、新的轮询API、函数参数文档注释、一系列弃用项都在其中。新轮询API能调用epoll等后端，独苗`stream_select()`终于可以退休，内置`clamp()`和`TimeDuration`类也在路上。更值得玩味的是安全默认值收紧：`session.use_strict_mode`、`cookie_httponly`默认改开、`cookie_samesite`默认Lax——官方在主动补"不安全默认配置"这个老欠账，而这次的漏洞恰恰证明这类欠账迟早要还。社区还有True Async项目在推内核级协程与非阻塞I/O，目标同样是PHP 8.6。知乎知乎知乎
热度侧也有佐证：最新TIOBE榜单上，PHP排名反超Go（注意：该指数衡量的是搜索热度，不代表实际就业率）。知乎
对PHP开发者的三句实话
还在岗的：这次事件最狠的教训不是"PHP危险"，而是"老版本+没人管"危险。版本保持现代、有人盯补丁，比换语言重要。
在选的：接快速交付、独立开发、小生意变现，PHP依然是性价比之王；进大厂核心系统，它确实不是第一选项。
在学的：学现代PHP（8.x+Composer+框架+安全运维），别学2010年的写法。"PHP已死"的梗和"PHP岗位在缩"的数据这次同时被摆上桌——别用任何单一信号做决定。
下次再有人跟你聊"世界上最好的语言"这个梗，可以把这次GitHub榜首截图甩给他：PHP吵输了流量，但赢下了整个互联网的基本盘。
