10月21日，全球广泛使用的服务器端编程语言PHP被曝存在两项严重安全漏洞（CVE-2026-109618、CVE-2026-109619），统称为“PHP2Shell”。经奇安信技术专家验证，该漏洞可实现无认证远程任意命令执行，属于互联网基础设施级安全风险，对我国的潜在影响涉及百万级资产。由于利用门槛极低，该漏洞存在演化出大规模蠕虫式传播攻击的可能，政企机构官网、公共服务平台等重点防护对象均处于高危暴露范围。
PHP是全球网站最常用的服务器端运行环境之一。W3Techs统计显示，全球约四分之三的网站使用PHP作为服务器端编程语言；VirusTotal的扫描数据显示，互联网上可探测的PHP主机超过510万台，尚未计入内网系统、测试环境与分支机构等未公开暴露的资产。攻击者无需账号密码，仅通过构造请求即可在服务器上执行任意命令，进而窃取数据、植入后门或横向渗透内网。
奇安信方面认为，此次漏洞反映出漏洞威胁态势的三个趋势性变化。其一是AI正在推动漏洞进入批量化生产阶段。奇安信《2026年中网络安全漏洞威胁态势研究报告》显示，2026年上半年新增漏洞总量达35467个，同比增长51.9％，高危及极危漏洞占比52.1％；30.2％的高危漏洞在发布当天即被利用，83.7％在21天内遭到攻击，漏洞生命周期被压缩至“小时级”。其二是漏洞覆盖面已达基础设施级别，开源软件因应用广泛成为攻击重灾区，政府、金融、能源及关键基础设施成为重点目标。其三是单点漏洞背后普遍存在资产底数不清、暴露面不明、业务路径风险不可见等长期问题。
针对海量资产排查与短时间窗口的矛盾，奇安信推出天戟AI智能渗透测试系统，提供“一键速查”方案。用户登录ai.qianxin.com，提交站点归属授权函并完成企业认证及应用开通后，即可在应用中心对授权网站发起渗透测试。系统以大模型驱动的智能体为核心，由主规划智能体拆解任务并评估反馈，浏览器智能体和登录测试智能体分工执行信息收集、站点地图构建、功能树分析与漏洞验证，无需编写脚本或配置规则。架构上采用“服务端大脑+分布式作业端”模式，作业端靠近目标网络执行并可横向扩展，任务过程、工具执行与流量日志可回溯，支持漏洞数据与任务报告导出。
据奇安信披露，天戟已在约7000个系统中投产，覆盖企业、证券、银行、医疗、教育、运营商等行业。AI执行加人工审核相比纯人工提效约61％，AI自主执行平均时长约3小时/系统，人工审核平均时长10至30分钟/系统，支持7×24小时无人值守持续执行。
从行业影响看，PHP2Shell的价值不止于一次应急响应。当AI同时加速漏洞挖掘与攻击发起，防守方需要将自动化渗透测试嵌入日常安全运营，持续摸清资产暴露面、验证业务路径上的真实风险并积累可复核证据。漏洞发现能否从应急动作转为常态工作，将直接影响政企机构在“小时级”攻防节奏中的响应能力。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
