通过将行为运行时指纹识别与持续状态对账相结合，0zone 使企业安全团队能够在不进行主动探测、避免相关风险的情况下，界定历史零日漏洞的暴露窗口。

美国阿拉巴马州亨茨维尔，11月4日 /PRNewswire/ -- 外部攻击面情报（EASI™）领域的先驱 0zone 今日宣布，针对被称为 php2shell 的关键 PHP 漏洞链（CVE-2026-109618 和 CVE-2026-109619），推出持续行为指纹识别和回溯时间线审计功能。公司表示，点时刻的边界扫描器只能确认当前状态，而 0zone 的持续状态对账架构可帮助企业判断，其生产资产是否在公开披露前的未公开窗口期内曾经暴露。

AWS 威胁情报确认，针对 php2shell 的活跃蜜罐利用行为出现在 2026 年 10 月 17 日——比 Wiz Research 于 10 月 21 日公开披露该漏洞链早了整整四天，随后该漏洞链被加入 CISA 的已知被利用漏洞（KEV）目录。由于 PHP 估计支撑着全球 70% 至 75% 的 Web 应用基础设施，安全团队面临的紧迫运营挑战是：在不对生产工作负载执行可能破坏稳定性的主动扫描探针的情况下，审计其历史暴露窗口。

安全、非破坏性的暴露分流

在重大零日漏洞公告期间，高频主动探测会向边界防御系统注入大量噪音，触发不必要的 SOC 告警，并可能扰乱脆弱的遗留服务。0zone 通过非侵入式的双层分析避免服务中断：

• 行为应用与运行时指纹识别：0zone 通过被动收集服务器响应头、HTTP 结构特征、边缘运行时特性以及未遮蔽的源 IP 映射，可靠识别 CDN 和代理后方的 PHP 引擎及衍生服务，而无需发送侵入式探测流量。
• 零影响堆栈画像：与其发起可能导致服务降级或告警疲劳的大规模主动探测，不如安全地对运行时特征进行画像，从而在整个资产范围内提供高置信度的资产识别。

回溯时间线情报：在零日漏洞公开前审计暴露情况

确定某项资产在公告发布前暴露了多久，往往是事件响应中最困难的阶段。0zone 通过自动化历史基线替代人工取证式猜测：

• 即时状态对账：通过持续维护带时间戳的受监控客户基础设施边界遥测，0zone 可在漏洞签名发布后的数小时内，将新的 CVE 签名与历史资产基线进行对账，而无需紧急网络扫描。
• 面向事件响应的定向分流：0zone 建立精确的时间性攻击面边界，帮助内部 SOC、WAF 和取证团队将主机级检查和日志分析准确指向发生暴露的具体位置和时间。
• 未来零日漏洞的蓝图：php2shell 的披露再次说明，点时刻扫描在结构上已经过时；持续状态对账提供了可扩展框架，确保企业客户在未来任何披露前被攻破的情况下，都能立即审计其暴露窗口。

高管表态

0zone 首席执行官 JP Thew 表示：“当 AWS 确认 10 月 17 日存在披露前利用时，整个行业都不得不承认，快照式扫描是不够的。如果攻击者在公告发布前有四天窗口，那么只回答你今天是否存在漏洞，只解决了一半问题。通过从客户接入之时起就在组织边界持续维护状态对账，0zone 让 CISOs 能够用可验证、带时间戳的数据证明其历史暴露窗口，而无需对生产端点发出任何可能破坏稳定性的探测。”

可用性与更多信息

php2shell（CVE-2026-109618 和 CVE-2026-109619）的检测和历史资产重新评估能力，已在所有受监控的 0zone 企业环境中立即启用。若要评估当前边界暴露情况，或建立持续的基线状态追踪，请访问 0zone PHP2Shell Intelligence Page：www.0zone.ai。

关于 0zone

0zone 通过其外部攻击面情报（EASI™）平台，连接传统外部攻击面管理（EASM）、商业情报和渗透测试之间的鸿沟。该平台由经验丰富的网络安全研究人员打造，可将多云资产、域名、SaaS 集成、供应商依赖关系和代码库映射为可操作的实时攻击图。依托持续攻击面建模和内部漏洞研究，0zone 持续扩展覆盖范围，以保护企业边界。更多信息请访问 www.0zone.ai。

媒体联系

0zone Communications Team