“PHP2Shell”敲响企业漏洞警钟，奇安信天戟提供一键速查方案

10月21日，全球广泛使用的服务器端编程语言PHP被曝存在两项严重安全漏洞（CVE-2026-109618、CVE-2026-109619），统称为“PHP2Shell”。 经奇安信技术专家验证，该漏洞可实现无认证远程任意命令执行，属于互联网基础设施级严重安全风险，对我国的潜在影响超百万级资产。 由于利用门槛极低，极易演化出大规模蠕虫式传播攻击，直接威胁我国关键信息基础设施安全，政企机构官网、公共服务平台等重点防护对象均处于高危暴露范围。 奇安信安全专家认为，“PHP2Shell”并不是一个孤立的漏洞事件，它暴露了在当前AI深度攻防博弈的背景下，全球面临的漏洞威胁正日益严峻，广大政企机构亟待构建实时、全面、常态化的渗透测试体系。奇安信天戟AI智能渗透测试系统提供了“一键速查”方案——用户只需登录ai.qianxin.com，在应用中心使用天戟即可对授权网站发起渗透测试，一键速查漏洞风险。 从PHP2Shell看漏洞态势：三大趋势驱动漏洞发现常态化 PHP2Shell之所以引发全球紧急响应，恰恰因为它不是“某个应用又出漏洞”，而是互联网最常见的基础运行环境本身出了问题。如果把网站比作一栋楼，PHP就是地基。无论楼上盖的是WordPress、Drupal还是自研系统，地基出了问题，整栋楼都危险。攻击者不需要账号密码，发一个精心构造的请求，就能在服务器上执行任意命令，窃取数据、植入后门、甚至横向控制整个内网。 但比这次漏洞本身更值得警惕的，是它揭示出的三个趋势性变化。 第一，AI正在让漏洞进入“批量生产”时代。 奇安信《2026年中网络安全漏洞威胁态势研究报告》显示，2026年上半年新增漏洞总量达35467个，同比增长51.9%，高危及极危漏洞占比52.1%。更关键的是速度：30.2%的高危漏洞在发布当天就被利用，83.7%在21天内遭攻击。报告明确指出，随着生成式人工智能在软件开发与安全攻防中的普及，漏洞的生命周期被极度压缩，攻防已进入“小时级”时代。Mythos更验证了这一趋势，在AI实现批量化挖掘漏洞并自动发起攻击的工业化时代，企业漏洞防护必须快速“升维”。 第二，漏洞的覆盖面已经变成“基础设施级”。 W3Techs统计显示，全球约四分之三的网站使用PHP作为服务器端编程语言。VirusTotal的扫描数据显示，互联网上可探测的PHP主机超过510万台，这还没算内网系统、测试环境、分支机构那些“看不见”的PHP。奇安信2026年中漏洞报告也显示，Linux、Microsoft、Amazon等主流厂商漏洞占比居前，开源软件因广泛应用成为攻击重灾区。政府机构、金融领域、能源及关键基础设施成为攻击重点目标，APT 组织利用漏洞实施的定向攻击与勒索软件攻击频发，凸显了漏洞威胁对国家安全与经济稳定的潜在影响。 第三，单点漏洞背后，是长期存在的“看不见的风险”。 这次是