2026年7月4日，上午10点，国家漏洞库（CNNVD）挂出一条紧急通告：CVE-2026-28347 —— 一个影响多个主流PHP框架（包括Laravel、Symfony以及ThinkPHP）的未认证远程代码执行漏洞，CVSS 3.1评分高达9.8，官方PoC已在GitHub上公开。
安全群里瞬间炸了锅。有人连夜给客户发通告，有人盯着自己服务器日志冷汗直冒，还有人开始翻自己常用的网站漏洞扫描工具，看看能不能第一时间检出这个漏洞。
结果呢？大部分人的常规扫描器，要么规则库里压根没有这个CVE，要么扫描完了一堆误报让人摸不着头脑。今天这波操作，暴露了一个非常现实的问题：当零日漏洞砸到头上时，你的扫描工具真能扛得住吗？
传统扫描工具的三个“慢动作”
先说个扎心的事实：多数传统漏洞扫描器的CVE规则更新周期，是以周甚至月为单位的。
- 规则库滞后：CVE发布后，人工编写检测脚本、测试、打包发布，这一套流程走下来，黄花菜都凉了。
- 单引擎局限：只依赖一种扫描引擎（比如只靠爬虫匹配指纹），面对框架底层漏洞时，检出率极不稳定。
- 误报与漏报齐飞：为了降低漏报，很多工具把阈值拉得很低，结果告警铺天盖地，运维同学每天在无效工单里游泳。
- 配置门槛高：命令行参数动辄几十个，非安全背景的站长根本不知道从哪里下手。
所以，当CVE-2026-28347这种“高质量”漏洞出现时，常规工具要么扫不出来，要么扫出来一堆似是而非的结果，比不扫还难受。
为什么nuclei成了安全圈“标配”？
最近两年，nuclei几乎成了安全研究员和运维团队的“标配武器”。它是一个基于YAML模板的漏洞扫描引擎，社区贡献了海量的检测模板，更新速度极快。每次CVE一公开，几个小时内你就能在nuclei的模板库里找到对应的检测规则。
