“PHP2Shell”敲響企業漏洞警鐘，奇安信天戟提供一鍵速查方案

10月21日，全球廣泛使用的服務器端編程語言PHP被曝存在兩項嚴重安全漏洞（CVE-2026-109618、CVE-2026-109619），統稱為“PHP2Shell”。經奇安信技術專家驗證，該漏洞可實現無認證遠程任意命令執行，屬於互聯網基礎設施級嚴重安全風險，對我國的潛在影響超百萬級資產。由於利用門檻極低，極易演化出大規模蠕蟲式傳播攻擊，直接威脅我國關鍵信息基礎設施安全，政企機構官網、公共服務平臺等重點防護對象均處於高危暴露範圍。

奇安信安全專家認為，“PHP2Shell”並不是一個孤立的漏洞事件，它暴露了在當前AI深度攻防博弈的背景下，全球面臨的漏洞威脅正日益嚴峻，廣大政企機構亟待構建實時、全面、常態化的滲透測試體系。奇安信天戟AI智能滲透測試系統提供了“一鍵速查”方案——用戶只需登錄ai.qianxin.com，在應用中心使用天戟即可對授權網站發起滲透測試，一鍵速查漏洞風險。從PHP2Shell看漏洞態勢：三大趨勢驅動漏洞發現常態化PHP2Shell之所以引發全球緊急響應，恰恰因為它不是“某個應用又出漏洞”，而是互聯網最常見的基礎運行環境本身出了問題。如果把網站比作一棟樓，PHP就是地基。

無論樓上蓋的是WordPress、Drupal還是自研系統，地基出了問題，整棟樓都危險。攻擊者不需要賬號密碼，發一個精心構造的請求，就能在服務器上執行任意命令，竊取數據、植入後門、甚至橫向控制整個內網。但比這次漏洞本身更值得警惕的，是它揭示出的三個趨勢性變化。第一，AI正在讓漏洞進入“批量生產”時代。奇安信《2026年中網絡安全漏洞威脅態勢研究報告》顯示，2026年上半年新增漏洞總量達35467個，同比增長51.9%，高危及極危漏洞佔比52.1%。更關鍵的是速度：30.2%的高危漏洞在發佈當天就被利用，83.7%在21天內遭攻擊。

報告明確指出，隨著生成式人工智能在軟件開發與安全攻防中的普及，漏洞的生命週期被極度壓縮，攻防已進入“小時級”時代。Mythos更驗證了這一趨勢，在AI實現批量化挖掘漏洞並自動發起攻擊的工業化時代，企業漏洞防護必須快速“升維”。第二，漏洞的覆蓋面已經變成“基礎設施級”。W3Techs統計顯示，全球約四分之三的網站使用PHP作為服務器端編程語言。VirusTotal的掃描數據顯示，互聯網上可探測的PHP主機超過510萬臺，這還沒算內網系統、測試環境、分支機構那些“看不見”的PHP。

奇安信2026年中漏洞報告也顯示，Linux、Microsoft、Amazon等主流廠商漏洞佔比居前，開源軟件因廣泛應用成為攻擊重災區。政府機構、金融領域、能源及關鍵基礎設施成為攻擊重點目標，APT 組織利用漏洞實施的定向攻擊與勒索軟件攻擊頻發，凸顯了漏洞威脅對國家安全與經濟穩定的潛在影響。第三，單點漏洞背後，是長期存在的“看不見的風險”。這次是PHP，下次可能是某個中間件、某個框架、某個開源組件。任何一次這樣的事件，都會把同一個問題擺到臺前：機構到底知不知道自己有哪些資產、哪些資產暴露在公網、哪些資產跑著有風險的版本、哪些業務路徑能被攻擊者走通？這些都需要企業來直接面對。

奇安信安全專家認為，這次PHP漏洞事件給全球機構敲響了警鐘：全面發現漏洞，不應是出事之後的應急動作，而應成為安全運營乃至數字化業務建設的一項基礎性、常態化工作。機構需要把自動化滲透測試嵌入日常運營——持續摸清資產暴露面、持續驗證業務路徑上的真實風險、持續積累可複核的證據，而不是等到下一個“史詩級漏洞”出現時才臨時抱佛腳。只有把“發現漏洞”變成常態，才能在AI加速攻防的時代，把主動權握在自己手裡。以AI防AI：天戟一鍵速查，效率提升61%面對如此龐大的暴露面和緊迫的時間窗口，傳統人工排查方式已難以應對。政企機構需要一種能夠快速覆蓋海量資產、自動驗證風險的AI手段。

奇安信天戟AI智能滲透測試系統，正是為此類場景而生。用戶只需輸入網站地址，系統即可通過AI自主完成從信息收集、網站地圖構建、功能樹分析到漏洞驗證的全流程，無需編寫腳本、無需配置複雜規則，真正實現“像掃描器一樣發起，像專家一樣測試”。天戟的核心能力體現在三個層面：l AI原生自主決策。天戟以大模型驅動的智能體為核心，主規劃智能體理解目標與約束、拆分任務並評估反饋，瀏覽器智能體和登錄測試智能體分工執行。系統結合頁面內容、可交互元素和業務說明理解功能用途，自主完成導航、點擊、填表、彈窗處理等操作，並根據新頁面和執行反饋調整後續路線。l 雲地協同分佈式執行。

系統採用“服務端大腦+分佈式作業端”架構，服務端統一編排，作業端提供靠近目標網絡的執行能力。目標流量從承擔執行的作業端所在網絡發出，作業端可按需橫向擴展，適合覆蓋總部、分支及不同業務區域。l 過程可視與證據閉環。操作員可查看任務狀態、智能體過程、工具執行與實時日誌，系統按任務彙總漏洞名稱、風險等級、問題描述及測試過程，支持導出漏洞數據和任務報告。瀏覽器交互觸發的請求與響應進入任務關聯的流量分析和檢測鏈路，AI結合頁面狀態和業務上下文分析風險線索，為漏洞複核保留請求響應和操作記錄。在實際投產中，天戟已覆蓋約7000個系統，涉及企業、證券、銀行、醫療、教育、運營商等行業。

AI執行+人工審核相比純人工提效約61%，AI自主執行平均時長約3小時/系統，人工審核平均時長10至30分鐘/系統，可7×24h無人值守持續執行。天戟使用方式非常簡便：客戶只需登錄ai.qianxin.com註冊企業賬號，提交站點歸屬授權函，完成企業認證及應用開通後，在應用中心使用天戟即可對授權網站發起滲透測試，即可一鍵速查各類漏洞風險。結語：把“發現漏洞”變成常態，才能以快制快PHP重大漏洞的背後，本質是AI自動發現的漏洞，其速度之快、影響力之廣，堪稱空前。但比這一次漏洞更重要的，是它印證了奇安信2026年中漏洞報告的判斷：攻防已進入“小時級”時代，傳統被動防護模式難以為繼。

面對AI帶來的攻守失衡局面，防守方需要利用AI手段，把全面發現漏洞從“應急動作”變成“常態工作”，以快制快，搶在攻擊者之前，防患於未然。奇安信天戟以AI原生滲透測試能力，幫助政企機構在漏洞窗口期快速完成資產排查與風險驗證，更幫助安全團隊把自動化滲透測試嵌入日常運營，將精力從重複的頁面探索和證據整理中解放出來，集中到關鍵風險確認與修復溝通上。