510万台PHP主机暴露，高危漏洞当天就被利用

你负责的官网，跑的是什么语言？如果答案是PHP，这次得认真看一眼了。10月21日，PHP被曝存在两项严重安全漏洞（CVE-2026-109618、CVE-2026-109619），统称“PHP2Shell”。经奇安信技术专家验证，该漏洞可实现无认证远程任意命令执行，属于互联网基础设施级严重安全风险。 攻击者不需要账号密码，发一个精心构造的请求，就能在服务器上执行任意命令，窃取数据、植入后门，甚至横向控制整个内网。由于利用门槛极低，极易演化出大规模蠕虫式传播攻击。对我国的潜在影响，奇安信给出的判断是超百万级资产。 为什么一个语言层面的漏洞能引发全球紧急响应？因为PHP不是“某个应用”，而是互联网最常见的基础运行环境本身。把网站比作一栋楼，PHP就是地基——楼上盖的是WordPress、Drupal还是自研系统都一样，地基出问题，整栋楼都危险。 覆盖面有多大？W3Techs统计显示，全球约四分之三的网站使用PHP作为服务器端编程语言。VirusTotal的扫描数据显示，互联网上可探测的PHP主机超过 510万台 ，这还没算内网系统、测试环境、分支机构那些“看不见”的PHP。政企机构官网、公共服务平台等重点防护对象，均处于高危暴露范围。 比这次漏洞本身更值得警惕的，是它背后的趋势。奇安信《2026年中网络安全漏洞威胁态势研究报告》给出了几组数字： 2026年上半年新增漏洞总量达 35467个 ，同比增长 51.9% 高危及极危漏洞占比 52.1% 30.2% 的高危漏洞在发布当天就被利用， 83.7% 在21天内遭攻击。 报告明确指出，随着生成式人工智能在软件开发与安全攻防中的普及，漏洞的生命周期被极度压缩，攻防已进入“小时级”时代。换句话说，从漏洞公开到你被打穿，留给防守方的时间窗口可能只有几个小时。 另一层问题在于“看不见”。这次是PHP，下次可能是某个中间件、某个框架、某个开源组件。每次这样的事件都会把同一个问题摆到台前：机构到底知不知道自己有哪些资产、哪些资产暴露在公网、哪些资产跑着有风险的版本、哪些业务路径能被攻击者走通？ 面对庞大的暴露面和紧迫的时间窗口，传统人工排查已难以应对。奇安信天戟AI智能渗透测试系统给出的方案是“一键速查”：用户登录ai.qianxin.com，在应用中心使用天戟，即可对授权网站发起渗透测试。系统通过AI自主完成从信息收集、网站地图构建、功能树分析到漏洞验证的全流程，无需编写脚本、无需配置复杂规则。 其能力体现在三个层面：AI原生自主决策，由主规划智能体拆分任务、浏览器智能体和登录测试智能体分工执行；云地协同分布式执行，采用“服务端大脑+分布式作业端”架构，作业端可按需横向扩展；过程可视与证据闭环，操作员可查看任务状态、智能体过程与实时日志，并导出漏洞数据和任务报告。 实际投产数据方面，天戟已覆盖约 7000个系统 ，涉及企业、证券、银行、医疗、教育、运营商等行业。AI执行加人工审核相比纯人工提效约 61% ，AI自主执行平均时长约3小时/系统，人工审核平均时长10至30分钟/系统，可7×24小时无人值守持续执行。 奇安信安全专家的判断是，全面发现漏洞不应是出事之后的应急动作，而应成为安全运营乃至数字化业务建设的一项基础性、常态化工作。把自动化渗透测试嵌入日常运营，持续摸清资产暴露面、持续验证业务路径上的真实风险、持续积累可复核的证据——只有把“发现漏洞”变成常态，才能在AI加速攻防的时代把主动权握在自己手里。 特别