PHP两项漏洞可远程执行命令，天戟支持授权网站速查

AI雷锋网2026/10/23 11:03:00

AI 导读

10月21日，PHP被曝存在CVE-2026-109618和CVE-2026-109619两项严重漏洞，合称“PHP2Shell”。经验证，攻击者无需认证即可远程执行任意命令，潜在影响我国超百万级资产；由于利用门槛低，漏洞可能引发蠕虫式传播，政企官网、公共服务平台及关键信息基础设施均面临风险。

这起事件暴露出基础运行环境面临的系统性威胁。无论网站使用WordPress、Drupal还是自研系统，只要底层PHP存在问题，攻击者就可能窃取数据、植入后门并横向进入内网。奇安信建议机构建立实时、全面、常态化的渗透测试机制，并可通过ai.qianxin.com中的天戟，对已获授权的网站一键排查风险。

相关报告显示，2026年上半年新增漏洞达35467个，同比增加51.9%，高危及极危漏洞占52.1%；30.2%的高危漏洞在公开当天即被利用，83.7%在21天内遭到攻击。生成式AI正在压缩漏洞从发现到利用的周期，攻防逐步进入“小时级”。同时，约四分之三的网站采用PHP，互联网上可探测的PHP主机超过510万台，开源软件、政府、金融、能源等领域因此成为重点目标。

漏洞风险还在于资产与暴露面的长期不可见：机构往往难以确认公网资产、软件版本和可被攻击的业务路径。天戟以大模型智能体完成信息收集、网站地图构建、功能分析和漏洞验证，支持页面导航、点击、填表及登录测试；其服务端大脑与分布式作业端协同，可覆盖总部、分支和不同区域。

系统提供任务状态、智能体过程、工具执行和实时日志，自动汇总漏洞名称、等级、描述及测试证据，并保留请求响应和操作记录。天戟已覆盖约7000个企业、证券、银行、医疗、教育和运营商系统；AI执行结合人工审核较纯人工提效约61%，自主测试平均约3小时/系统，人工复核约10至30分钟/系统，并支持7×24小时无人值守运行。

使用时需注册企业账号、提交站点归属授权函，完成企业认证和应用开通后，即可在应用中心发起测试。面对AI加速的漏洞发现与攻击，机构应把自动化渗透测试纳入日常运营，持续盘点资产、验证真实风险并沉淀可复核证据，以更快速度完成防护闭环。