10月21日，PHP被曝出两项重大安全漏洞（CVE-2026-109618、CVE-2026-109619），统称为“PHP2Shell”。根据奇安信的技术分析，这些漏洞允许攻击者通过无认证的请求在服务器上执行任意命令，造成严重的安全隐患。攻击者无需任何凭证，仅需发送特定请求即可窃取数据、植入后门或获取内网控制权限。由于其利用门槛极低，这可能导致大规模的蠕虫式攻击，奇安信估计潜在影响资产超过百万。

PHP的广泛应用使得这一漏洞引起全球重视。数据显示，约四分之三的网站使用PHP作为服务端编程语言，互联网上可检测的PHP主机超过510万台，这还不包括内网、测试环境及其它不可见的系统。此漏洞影响范围涵盖了政府和企业官方网站及公共服务平台等关键领域。

更关键的是此次漏洞所反映的安全趋势。奇安信的研究报告指出，在2026年上半年，新增漏洞数量达到35467个，增长率达51.9%，其中高危及极危漏洞占比超过52%。此外，大约30.2%的高危漏洞在发布当天就被攻击者利用，83.7%在21天内遭受攻击。随着生成式人工智能的普及，漏洞的生命周期大幅缩短，攻防对抗已经进入“小时级”时代，防守方可用的时间窗口可能仅有几个小时。

对于“看不见”的资产暴露问题，这次事件再一次提醒我们，机构需要状态清晰的资产管理。每次安全事件都促使我们思考，例如哪些资产暴露在公共网络中、使用了哪些有风险的版本等。在面对广泛的暴露面和急迫的应对时间，单靠人工排查已难以应对。奇安信推出的天戟AI智能渗透测试系统提供了一种解决方案，用户可通过该平台在应用中心发起渗透测试，系统利用AI技术全面完成漏洞的识别与验证流程。

该系统具备三方面核心能力：AI自主决策，分工执行任务；云地协同，分布式执行，提高效率；过程可视化与证据闭环，操作员可随时监控进展并生成报告。天戟已为约7000个系统提供覆盖，涉及多个行业，AI执行的效率显著提升，并且可实现24小时无人值守持续运行。

奇安信的安全专家强调，发现漏洞不应是事后的应急响应，而应成为安全运营及数字化业务建设的常态化工作，定期进行自动化渗透测试，确保掌握资产暴露情况与业务路径风险，才能在快速变化的攻击环境中保持主动地位。