10月21日，全球广泛使用的服务器端编程语言PHP被曝存在两项严重安全漏洞，编号分别为CVE-2026-109618和CVE-2026-109619，统称为“PHP2Shell”。经技术验证，该漏洞可实现无认证远程任意命令执行，属于互联网基础设施级严重安全风险。由于利用门槛极低，该漏洞极易演化出大规模蠕虫式传播攻击，对关键信息基础设施安全构成直接威胁，政企机构官网及公共服务平台等重点防护对象均处于高危暴露范围。

漏洞态势显示AI加速攻防博弈

“PHP2Shell”并非孤立事件，而是揭示了当前安全领域的三大趋势。首先，AI正在推动漏洞进入“批量生产”时代。奇安信《2026年中网络安全漏洞威胁态势研究报告》显示，2026年上半年新增漏洞总量达35467个，同比增长51.9%，其中高危及极危漏洞占比52.1%。更关键的是，30.2%的高危漏洞在发布当天即被利用，83.7%在21天内遭攻击，表明攻防已进入“小时级”时代，漏洞生命周期被极度压缩。

其次，漏洞影响范围已扩展至基础设施级。W3Techs统计显示，全球约四分之三的网站使用PHP。VirusTotal扫描数据显示，互联网上可探测的PHP主机超过510万台，若加上内网系统及测试环境，实际暴露面更大。此外，单点漏洞背后隐藏着长期存在的“看不见的风险”，机构往往难以全面掌握资产暴露面及真实业务路径风险，亟需从被动应急转向主动常态化排查。

AI渗透测试提升风险排查效率

面对庞大的资产暴露面和紧迫的时间窗口，传统人工排查方式难以应对。以奇安信天戟AI智能渗透测试系统为例，其通过AI自主完成信息收集、网站地图构建及漏洞验证全流程，无需编写脚本或配置复杂规则。该系统核心能力包括AI原生自主决策、云地协同分布式执行以及过程可视与证据闭环。在实际应用中，AI执行加人工审核相比纯人工提效约61%，AI自主执行平均时长约3小时/系统，支持7×24小时无人值守持续执行，已覆盖约7000个系统，涉及金融、医疗、教育等多个行业。

构建常态化安全运营体系

此次PHP漏洞事件表明，全面发现漏洞不应是出事后的应急动作，而应成为安全运营的基础性、常态化工作。在AI加速攻防的背景下，防守方需利用AI手段，将自动化渗透测试嵌入日常运营，持续摸清资产暴露面并验证真实风险。通过以快制快，企业可在漏洞窗口期快速完成资产排查与风险验证，将安全精力从重复探索中解放，集中用于关键风险确认与修复，从而在日益严峻的威胁环境中掌握主动权，保障关键信息基础设施安全。