开源软件的时代结束了，闭源的黎明正在到来

The Era of Open Source Software Is Dead, the New Dawn of Closed Source Software

开源软件的时代结束了，闭源的黎明正在到来

今天,PHP 曝出两个核心级 RCE 漏洞，无需认证，一个请求就能拿下服务器。原定的协调披露时间是明天，结果细节昨天先在 Hacker News 泄了：安全公司 watchTowr 数小时内就验证了漏洞可武器化，黑客梦自动扫描随即开始 网站已经被批量攻陷。PHP 撑着全球四分之三的内容网站，而 PHP 8.1 以下的停维护版本，永远不会有补丁。

这不是孤例，是加速度的问题。CVE （严重代码楼痛）产量：2016 年全年 6,457 条，2024 年 40,077 条，2025 年 48,244 条，2026 年上半年同比再涨 51%， 预计全年冲到 6.6 万条。原因很简单，有了AI 找 bug 变便宜了。Anthropic 的 Mythos 模型在测试中 72% 的概率能直接生成可用的 exploit，仅在 Firefox 一个项目里就挖出 271 个漏洞。

更致命的是攻防速度差。Mandiant估算：漏洞的平均利用时间已经变成 -7 天。2018 年这个数字是 +63 天，负数的意思是，攻击已经大量发生在补丁发布之前。

CISA 的 KEV 在野利用清单，2025 年底是 1,484 条，到这个月已经 1,739 条，最近 30 天新增 28 条。

Verizon 2026 DBIR 的结论：31% 的入侵事件以漏洞利用为起点，连续多年排第一。

把这些数据摆在一起，开源的安全叙事就完全站不住脚了。过去我们信 Linus's Law， 也就是，眼睛足够多，bug 就无处藏身。这句话有个隐含前提：防御方读代码的速度不慢于攻击方。但是AI 把这个前提打破了。 攻击方读公开源码是自动化的，7×24 小时批量扫描、批量生成 exploit；防御方这这边，核心开源项目的维护者常常是几个志愿者 根本没有能力对抗攻击方。

公开源码在今天的实际效果，是给攻击方递上一份带行号的地图。这正是 Cal.com 今年放弃 AGPL 转闭源时，CEO 说「open source is dead」的真正底气，和商业账无关，是攻防成本的不对称。

当漏洞攻击窗口变成负数，把代码关起来，是软件行业唯一的选择