10月21日，全球广泛使用的服务器端编程语言PHP被曝出两个高危安全漏洞（CVE-2026-109618、CVE-2026-109619），统称"PHP2Shell"。在特定条件下，攻击者无需身份认证即可利用相关漏洞实现远程代码执行，可能导致网站被篡改、敏感信息泄露甚至服务器失陷。360宣布已第一时间完成漏洞复现与攻击路径验证，并给出修复建议。同时，360表示将面向企业免费开放图龙锋安全体检，协助企业排查相关风险。

CVE-2026-109618 CVE-2026-109619

PHP 远程代码执行漏洞复现

专家介绍说，PHP广泛应用于政府网站、企业业务系统及各类互联网平台，此次漏洞影响范围广泛，潜在安全风险突出。据公开数据，仅已确认暴露的受影响服务器就超过百万台，其中大量主机使用已结束官方支持的PHP版本，需要升级至受支持版本，或核查供应商补丁及此次专项源码回移植方案。漏洞曝光后，荷兰、芬兰、日本等多国政府机构和企业网站采取临时关站等方式紧急避险。

针对这一安全风险，360安全专家建议，政企单位应及时核查自身PHP版本及相关组件，优先升级至官方修复版本；对于暂时无法升级的系统，应结合官方公告采取必要的临时防护措施，并持续监测异常访问和攻击行为。

随着AI技术加速应用于漏洞发现、分析与利用，网络攻击正向自动化、规模化演进，漏洞从发现到被利用的时间窗口可能进一步缩短。传统依赖人工审计、周期性扫描和补丁响应的防护方式，正面临发现效率和覆盖范围的双重挑战。面对机器速度的攻防对抗，安全防御更需要借助AI主动挖掘未知漏洞，将风险排查和治理前移，提升漏洞治理与安全防护能力。

数据显示，截至目前，图龙锋已累计挖掘漏洞超过1.5万个，其中包括Windows中潜伏五年、Office中隐藏八年的安全漏洞，已有500余家企业接入开展专项安全测试，包括麒麟软件、统信软件、金蝶、首都在线、山石网科等。

专项支持期间，企业可通过图龙锋SaaS版开展智能安全检测，协助识别PHP2Shell相关漏洞风险及其他潜在安全隐患。同时专家建议，企业还应结合实际部署环境、PHP运行版本及补丁状态开展综合核查，及时完成安全更新。

小涵  晓风

校对 陶善工