PHP2Shell vulnerability exposed, QiAnXin Tianji provides one-click quick-check solution

10月21日，全球广泛使用的服务器端编程语言PHP被曝存在两项严重安全漏洞（CVE-2026-109618、CVE-2026-109619），统称为“PHP2Shell”。经奇安信技术专家验证，该漏洞可实现无认证远程任意命令执行，属于互联网基础设施级严重安全风险，对我国的潜在影响超百万级资产。由于利用门槛极低，极易演化出大规模蠕虫式传播攻击，直接威胁我国关键信息基础设施安全，政企机构官网、公共服务平台等重点防护对象均处于高危暴露范围。

奇安信安全专家认为，“PHP2Shell”并不是一个孤立的漏洞事件，它暴露了在当前AI深度攻防博弈的背景下，全球面临的漏洞威胁正日益严峻，广大政企机构亟待构建实时、全面、常态化的渗透测试体系。奇安信天戟AI智能渗透测试系统提供了“一键速查”方案——用户只需登录ai.qianxin.com，在应用中心使用天戟即可对授权网站发起渗透测试，一键速查漏洞风险。

从PHP2Shell看漏洞态势：三大趋势驱动漏洞发现常态化

PHP2Shell之所以引发全球紧急响应，恰恰因为它不是“某个应用又出漏洞”，而是互联网最常见的基础运行环境本身出了问题。如果把网站比作一栋楼，PHP就是地基。无论楼上盖的是WordPress、Drupal还是自研系统，地基出了问题，整栋楼都危险。攻击者不需要账号密码，发一个精心构造的请求，就能在服务器上执行任意命令，窃取数据、植入后门、甚至横向控制整个内网。

但比这次漏洞本身更值得警惕的，是它揭示出的三个趋势性变化。

第一，AI正在让漏洞进入“批量生产”时代。奇安信《2026年中网络安全漏洞威胁态势研究报告》显示，2026年上半年新增漏洞总量达35467个，同比增长51.9%，高危及极危漏洞占比52.1%。更关键的是速度：30.2%的高危漏洞在发布当天就被利用，83.7%在21天内遭攻击。报告明确指出，随着生成式人工智能在软件开发与安全攻防中的普及，漏洞的生命周期被极度压缩，攻防已进入“小时级”时代。Mythos更验证了这一趋势，在AI实现批量化挖掘漏洞并自动发起攻击的工业化时代，企业漏洞防护必须快速“升维”。

第二，漏洞的覆盖面已经变成“基础设施级”。W3Techs统计显示，全球约四分之三的网站使用PHP作为服务器端编程语言。VirusTotal的扫描数据显示，互联网上可探测的PHP主机超过510万台，这还没算内网系统、测试环境、分支机构那些“看不见”的PHP。奇安信2026年中漏洞报告也显示，Linux、Microsoft、Amazon等主流厂商漏洞占比居前，开源软件因广泛应用成为攻击重灾区。政府机构、金融领域、能源及关键基础设施成为攻击重点目标，APT 组织利用漏洞实施的定向攻击与勒索软件攻击频发，凸显了漏洞威胁对国家安全与经济稳定的潜在影响。

第三，单点漏洞背后，是长期存在的“看不见的风险”。这次是PHP，下次可能是某个中间件、某个框架、某个开源组件。任何一次这样的事件，都会把同一个问题摆到台前：机构到底知不知道自己有哪些资产、哪些资产暴露在公网、哪些资产跑着有风险的版本、哪些业务路径能被攻击者走通？这些都需要企业来直接面对。

奇安信安全专家认为，这次PHP漏洞事件给全球机构敲响了警钟：全面发现漏洞，不应是出事之后的应急动作，而应成为安全运营乃至数字化业务建设的一项基础性、常态化工作。机构需要把自动化渗透测试嵌入日常运营——持续摸清资产暴露面、持续验证业务路径上的真实风险、持续积累可复核的证据，而不是等到下一个“史诗级漏洞”出现时才临时抱佛脚。只有把“发现漏洞”变成常态，才能在AI加速攻防的时代，把主动权握在自己手里。

奇安信天戟AI智能渗透测试系统，正是为此类场景而生。用户只需输入网站地址，系统即可通过AI自主完成从信息收集、网站地图构建、功能树分析到漏洞验证的全流程，无需编写脚本、无需配置复杂规则，真正实现“像扫描器一样发起，像专家一样测试”。

天戟的核心能力体现在三个层面：

l AI原生自主决策。天戟以大模型驱动的智能体为核心，主规划智能体理解目标与约束、拆分任务并评估反馈，浏览器智能体和登录测试智能体分工执行。系统结合页面内容、可交互元素和业务说明理解功能用途，自主完成导航、点击、填表、弹窗处理等操作，并根据新页面和执行反馈调整后续路线。

l 云地协同分布式执行。系统采用“服务端大脑+分布式作业端”架构，服务端统一编排，作业端提供靠近目标网络的执行能力。目标流量从承担执行的作业端所在网络发出，作业端可按需横向扩展，适合覆盖总部、分支及不同业务区域。

l 过程可视与证据闭环。操作员可查看任务状态、智能体过程、工具执行与实时日志，系统按任务汇总漏洞名称、风险等级、问题描述及测试过程，支持导出漏洞数据和任务报告。浏览器交互触发的请求与响应进入任务关联的流量分析和检测链路，AI结合页面状态和业务上下文分析风险线索，为漏洞复核保留请求响应和操作记录。

在实际投产中，天戟已覆盖约7000个系统，涉及企业、证券、银行、医疗、教育、运营商等行业。AI执行+人工审核相比纯人工提效约61%，AI自主执行平均时长约3小时/系统，人工审核平均时长10至30分钟/系统，可7×24h无人值守持续执行。

天戟使用方式非常简便：客户只需登录ai.qianxin.com注册企业账号，提交站点归属授权函，完成企业认证及应用开通后，在应用中心使用天戟即可对授权网站发起渗透测试，即可一键速查各类漏洞风险。

结语：把“发现漏洞”变成常态，才能以快制快

PHP重大漏洞的背后，本质是AI自动发现的漏洞，其速度之快、影响力之广，堪称空前。但比这一次漏洞更重要的，是它印证了奇安信2026年中漏洞报告的判断：攻防已进入“小时级”时代，传统被动防护模式难以为继。

面对AI带来的攻守失衡局面，防守方需要利用AI手段，把全面发现漏洞从“应急动作”变成“常态工作”，以快制快，抢在攻击者之前，防患于未然。奇安信天戟以AI原生渗透测试能力，帮助政企机构在漏洞窗口期快速完成资产排查与风险验证，更帮助安全团队把自动化渗透测试嵌入日常运营，将精力从重复的页面探索和证据整理中解放出来，集中到关键风险确认与修复沟通上。