“PHP2Shell”漏洞致百万级资产暴露，奇安信推AI渗透测试方案

一句话结论

PHP底层漏洞“PHP2Shell”致超百万资产高危暴露，奇安信以AI渗透系统赋能常态化风险排查。

关键要点

全球广泛使用的PHP语言曝出两项严重漏洞，无认证即可远程执行任意命令，波及互联网基础设施。
奇安信评估该漏洞对国内潜在影响超百万级资产，政府、金融及能源等关键信息基础设施处于高危暴露范围。
奇安信天戟AI智能渗透测试系统可自主完成全链路测试，AI执行与人工审核结合提效61%，平均单系统AI执行3小时。
2026年上半年全球新增漏洞达35467个，高危及极危漏洞占比52.1%，30.2%的高危漏洞发布当日即被利用。
互联网可探测的PHP主机超过510万台，未计入内网及测试环境，庞大暴露面使传统人工排查难以应对。

背景与事实

2026年10月21日，全球广泛使用的服务器端编程语言PHP被曝出两项严重安全漏洞，编号为CVE-2026-109618和CVE-2026-109619，被统称为“PHP2Shell”。经奇安信技术专家验证，该漏洞允许攻击者在无认证的情况下执行远程任意命令，属于互联网基础设施级严重安全风险。由于利用门槛极低，该漏洞极易演化出大规模蠕虫式传播攻击，直接威胁我国关键信息基础设施安全。奇安信评估，该漏洞对我国的潜在影响超百万级资产，政企机构官网、公共服务平台等重点防护对象均处于高危暴露范围内。

漏洞之所以引发全球紧急响应，是因为它直指互联网最常见的基础运行环境。以网站建筑为喻，PHP等同于整栋大楼的地基。无论上层应用是WordPress、Drupal还是自研系统，地基出现问题即全线失守。攻击者无需账号密码，仅通过发送精心构造的请求，即可在服务器上执行任意命令，进而窃取数据、植入后门或横向控制整个内网。W3Techs的统计数据显示，全球约四分之三的网站使用PHP作为服务器端编程语言。VirusTotal的扫描数据进一步表明，互联网上可探测的PHP主机超过510万台，这尚未包含内网系统、测试环境以及分支机构等无法直接探测的资产。

奇安信安全专家指出，该事件暴露了全球漏洞威胁的严峻态势，并揭示出三大趋势。其一，AI正在推动漏洞进入批量生产时代。据奇安信发布的《2026年中网络安全漏洞威胁态势研究报告》，2026年上半年全球新增漏洞总量达35467个，同比增长51.9%，其中高危及极危漏洞占比达52.1%。在攻防速度上，30.2%的高危漏洞在发布当天即被利用，83.7%在21天内遭攻击，漏洞生命周期被极度压缩，攻防全面进入“小时级”时代。

其二，漏洞覆盖面已呈基础设施级。报告指出，Linux、Microsoft、Amazon等主流厂商漏洞占比居前，开源软件因广泛应用成为攻击重灾区。政府机构、金融领域、能源及关键基础设施成为攻击重点目标，APT组织利用漏洞实施的定向攻击与勒索软件攻击频发。其三，单点漏洞背后隐藏着长期存在的风险。无论是底层语言、中间件还是开源组件，机构往往难以全面掌握自身资产在公网的暴露面及业务路径的真实风险。奇安信专家认为，全面发现漏洞不应是出事后才采取的应急动作，而应成为安全运营乃至数字化业务建设的基础性、常态化工作。

影响分析

作为分析判断，对于中文开发者及从业者而言，底层语言与核心开源组件的漏洞暴露意味着资产盘查和响应时间被极度压缩。由于大量政企及关键行业系统依赖PHP生态，业务连续性面临严峻挑战。企业需将自动化渗透测试嵌入日常运营，持续摸清资产暴露面并验证业务路径风险，积累可复核的证据。

同时，面对AI带来的攻防失衡，从业者需要转变安全运营思路。传统的人工排查与被动防护模式难以应对海量资产与极速漏洞利用，采用AI驱动的自主渗透测试工具能显著降低时间成本。AI在自动化执行与人工复核上的协同，可将团队精力从重复的页面探索中解放，集中用于关键风险确认与修复沟通，从而在漏洞窗口期内抢在攻击者之前实现以快制快。