La nomenclature est clairement moisie mais il faut faire la part des choses sur le reste. Avant php 5.3, PHP était développé pour être accessible et la sécurité n'était pas la priorité (j'entends pas là que des paramètres par défaut mettais en difficulté la sécurité des sites si les développeurs ne prenaient pas le soin d'appliquer des filtres). Aujourd'hui (et depuis php 5.3), la sécurité est la priorité avant l'accessibilité.
Par ailleurs, mais s'il y a des comportements douteux dans la partie objet, c'est avant tout quand on gratte et qu'on fait des choses tordues (et qui sortent du pattern objet correctement utilisé).
Beaucoup ici sont habitués aux langages plus bas niveau, il faut se replacer dans le contexte que PHP est dédié au web. Par ailleurs, des très grandes structures contenues à utiliser PHP dans leur infra, jusqu'à investir des 10ène de milliers d'euros vers des migrations sur des framework comme Symfony (le Spring de Java version PHP). Ils ne le font pas juste sur un coup de tête...