安全指南

#漏洞 #CVE-2026-104935 #CVE-2026-0322 #CVE-2025-61624 #CVE-2026-76519 #CVE-2026-21589 #Ivanti #Palo Alto Networks #Fortinet #Cisco #VPN #部署

2026年10月中旬被利用的边缘设备漏洞：Ivanti、PAN-OS、FortiOS、Cisco

2026年10月13日至16日被列入 CISA KEV 的边缘设备漏洞：Ivanti Connect Secure CVE-2026-104935、PAN-OS CVE-2026-0322、FortiOS CVE-2025-61624 和 Cisco Secure Email Gateway CVE-2026-76519。受影响版本、修复版本以及需要检查的事项。

发布于 2026-10-24 更新于 2026-10-24 最后核实 2026-10-24 6 分钟阅读

本页目录

适用对象：运行 VPN 设备、防火墙、邮件网关及其他边缘设备（位于您的网络与互联网之间的设备）的网络和安全团队。本页内容基于厂商的安全公告和 CISA 的公开数据，不涉及攻击的工作原理。

持续更新中：有新信息时本页将更新

截至2026年10月24日

尚不清楚

Ivanti Connect Secure 各代码线的修复版本（本站无法获取 Ivanti 公告的正文）
据报道的 Ivanti Connect Secure 权限提升漏洞的修复
每个漏洞各影响了多少组织

五个漏洞均已列入 KEV，各厂商均已发布修复。对于 Ivanti Connect Secure，据报道，同一攻击中使用的一个权限提升漏洞的修复仍未发布。公告修订后，本页将更新。

快速检查：是否影响您？

下表列出了各漏洞被加入 KEV（CISA 的已知被利用漏洞目录）的日期，以及 KEV 中记录的美国联邦机构截止日期。

产品	CVE	是否需要登录？	KEV 加入日 / 截止日	应对措施
Ivanti Connect Secure（VPN）	CVE-2026-104935	否	10月13日 / 10月16日	升级；调查是否已被入侵
Palo Alto Networks PAN-OS（防火墙）	CVE-2026-0322	是（高权限）	10月14日 / 10月17日	升级；限制管理访问
Fortinet FortiOS 等	CVE-2025-61624	是（管理员）	10月16日 / 10月19日	升级；从 7.2 及更早版本迁移
Cisco Secure Email Gateway	CVE-2026-76519	否	10月14日 / 10月17日	更新 Content Scanner Tools 或 AsyncOS
Atlassian Data Center 产品	CVE-2026-21589	否	10月15日 / 10月18日	升级；限制外部访问

本文涉及的漏洞，于10月13日至16日加入 KEV

其中无需登录即可被利用的数量

3 天

从列入 KEV 到联邦截止日期

已逾期

截至10月24日，五个截止日期均已过去

10月13日

加入 Ivanti（截止16日）

10月14日

加入 PAN-OS、Cisco（截止17日）

10月15日

加入 Atlassian（截止18日）

10月16日

加入 Fortinet（截止19日）

各漏洞被加入 KEV 的日期及联邦截止日期。每个漏洞的截止日期都是列入后三天。

Ivanti Connect Secure（CVE-2026-104935）

CVE-2026-104935

类型: 通过欺骗实现认证绕过（CWE-290）。远程未认证攻击者可以运行任意命令
严重程度: CVSS v3.1 8.6
受影响版本: 25.1.1.1 及更早、25.1.2.2 及更早、22.8R2.4 及更早（CISA 警报）
修复版本: 请在 Ivanti 的公告中确认您所用代码线的修复版本
利用情况: Ivanti 在披露时表示，已获悉存在有限的在野利用。CISA 于10月13日将其加入 KEV，并称其正被用于窃取凭据和外泄数据

Ivanti 于10月13日发布了公告；同日在一篇博客文章中，Ivanti 请使用受影响版本的客户立即升级到已修复的版本，并定期运行其 Integrity Checker Tool。本站无法获取 Ivanti 公告的正文，因此此处未列出修复版本号。请在公告中查看您所用代码线的修复版本。据 CISA 称，22.8 系列将于2027年1月31日终止支持。

CISA 表示，由于攻击者的命令在内存中运行，Ivanti 的 Integrity Checker Tool 可能无法检测到被利用的情况，需要进行网络和内存取证来判断是否已被入侵。如果怀疑已被入侵，CISA 建议按以下步骤操作。

备份配置

备份设备配置。

恢复出厂设置并升级

将设备恢复出厂设置，并升级到最新版本。对于虚拟和云系统，请重建实例并升级。

恢复配置

从备份中恢复配置。

轮换凭据

重置所有域账户、管理员账户和本地账户的密码，吊销并重新签发已存储的证书，并重置已存储的 API 密钥和许可证服务器凭据。

已有报道，尚未确认

一家调查了这些攻击的美国安全公司在10月13日写道，其发现从10月3日起就有利用行为，并且攻击串联了三个漏洞：认证绕过、文件写入和权限提升。该公司称，Ivanti 计划在未来几周的版本中修复权限提升漏洞。本站未能在 Ivanti 公告的正文中确认这一点。升级后，请继续关注 Ivanti 的下一份公告。

Palo Alto Networks PAN-OS（CVE-2026-0322）

CVE-2026-0322

类型: 管理界面中的代码注入（CWE-94）。已认证攻击者可以在防火墙上以 root 身份运行任意代码
严重程度: CVSS v4.0 8.6；如果管理访问被限制在跳板机，则为 8.5
条件: 能够通过网络访问管理界面，并拥有高权限登录。无需特殊配置
受影响版本: PA-Series、VM-Series 和 Panorama 上的 PAN-OS 10.2、11.1、11.2、12.1 和 12.2
不受影响: Cloud NGFW 和 Prisma Access（无需操作）
利用情况: Palo Alto Networks 表示，其发现了针对管理界面的非常有限的利用

修复版本按版本系列和热修复（-h）级别细分。各系列最高的修复版本为：12.2.4 或更高、12.1.10-h2 或更高、11.2.16 或更高、11.1.16-h3 或更高，以及 10.2.18-h12 或更高。中间版本的热修复版本（例如 11.2.13-h3）请查看公告中的表格。不受支持的版本应迁移到受支持的已修复版本。

公告称，没有已知的临时解决方法。当管理界面可从互联网访问时风险最高，厂商建议只允许来自受信任内部 IP 地址的管理访问。使用 Threat Prevention 的客户可通过 Threat ID 510046 和 510047 获得有限的防护，这需要 SSL 解密。推荐的修复方式是升级。

Fortinet FortiOS 等（CVE-2025-61624）

CVE-2025-61624 (FG-IR-26-122)

类型: CLI 中的路径遍历（CWE-22）。有权限的攻击者可以通过向现有命令传入精心构造的参数，写入或删除任意文件
严重程度: CVSS v3 6.0（Fortinet 评为中等）
条件: 需要管理员登录。KEV 称需要至少具有读写权限的管理员配置文件
发布: 2026年4月14日（初始公告）。10月16日加入 KEV
利用情况: 公告将其列为 Known Exploited: Yes，没有更多细节

该漏洞在六个月前披露，直到现在才被加入 KEV。如果您在4月时因其为中等严重程度且仅限管理员而推迟了处理，请现在重新审视。

产品	受影响版本	措施
FortiOS 7.6	7.6.0 至 7.6.4	升级到 7.6.5 或更高
FortiOS 7.4	7.4.0 至 7.4.9	升级到 7.4.10 或更高
FortiOS 7.2、7.0、6.4	所有版本	迁移到已修复的版本
FortiProxy 7.6 / 7.4	7.6.0-7.6.4 / 7.4.0-7.4.11	7.6.5+ / 7.4.12+（从 7.2、7.0 迁移）
FortiPAM 1.7	1.7.0	1.7.1+（从 1.6 及更早版本迁移；1.8 不受影响）
FortiSwitchManager 7.2 / 7.0	7.2.0-7.2.7 / 7.0.0-7.0.6	7.2.8+ / 7.0.7+

公告未列出临时解决方法。Fortinet 表示已提供虚拟补丁（FortiGuard 签名）。由于前提条件是拥有管理员账户，请限制可访问管理界面的人员，停用不用的管理员账户，并要求管理员登录使用多因素认证（本站的建议）。

Cisco Secure Email Gateway（CVE-2026-76519）

CVE-2026-76519 (cisco-sa-esa-afw-zqYJkjxp)

类型: 相对路径遍历（CWE-23），导致任意文件写入。由带有精心构造附件的电子邮件触发，并可能导致以 root 身份执行命令
严重程度: CVSS v3.1 9.8
条件: 无需登录。仅当启用了 File Reputation（Cisco AMP 的一部分）并已分配给邮件策略，且 Content Scanner Tools 版本早于 25.3.0.5525 时才受影响
修复版本: Content Scanner Tools 25.3.0.5525 或更高（无需重启），或 AsyncOS 15.5.5-014 或 16.5.0-780。16.0 以及 16.5 之前的版本应迁移到 16.5.0-780
不受影响: Secure Email and Web Manager、Secure Web Appliance。Cisco 已修复云服务，客户无需更新，但已联系出现入侵指标的客户，并建议更新凭据和密钥
利用情况: Cisco PSIRT 表示，其在2026年10月得知存在活跃利用

没有临时解决方法。接收邮件的一侧无法关闭，但 Cisco 的加固建议是将管理流量与邮件流量分离到不同的网络接口，并只允许已知的受信任主机访问该设备。在 Web 界面中，请检查邮件策略的 Advanced Malware Protection 设置下是否勾选了 Enable File Reputation，并在 CLI 中检查 Content Scanner Tools 版本（contentscannerstatus）。如果受影响，请更新 Content Scanner Tools。开启自动更新有助于更快获得下一次修复。

Cisco 的公告包含一个检查系统日志中入侵迹象的步骤；请在每个集群成员上运行。如果发现指标，或扫描未能完成，Cisco 请您联系 Cisco TAC。由于 root 权限可让攻击者隐藏痕迹，Cisco 还建议检查网络和防火墙日志，查看是否有向外部地址的可疑上传。

Atlassian Data Center 产品（CVE-2026-21589）

10月5日，Atlassian 披露了一个漏洞，未认证攻击者可借此读取 Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo 和 Crowd Data Center 的所有版本，以及 Crucible 和 Fisheye 中 Web 应用根目录内的特定文件（CVSS v4.0 9.3，为 Atlassian 的评级）。该漏洞于10月15日被加入 KEV。Atlassian 表示无法确认客户的实例是否受到影响，并建议请您的安全团队检查这些实例是否有入侵迹象。云产品已完成修补。

修复版本因产品而异（例如 Confluence Data Center 9.2.26 和 10.2.19；Jira Software Data Center 9.12.40、10.3.26 和 11.3.12）。如果无法立即升级，Atlassian 建议将实例从互联网下线或限制外部访问，并通过 WAF 或反向代理规则拦截可疑 URL。

这五个漏洞的共同点

五者都位于可从互联网访问的设备或服务器上，被利用后可能为攻击者提供进入内部网络的途径。即使是需要登录的两个（PAN-OS 和 FortiOS），如果管理界面对互联网开放，也只差一个被盗的管理员密码就可能被利用。

下次还会重蹈覆辙的运维方式

管理界面可从互联网上任何地方访问
打完补丁就认为工作结束
因为需要登录而推迟处理漏洞
没有所用产品和版本的清单

可以减小下次损失的运维方式

管理界面只能从管理网络或通过 VPN 访问
升级前保存日志，并按厂商指引检查是否已被入侵
无论是否需要登录，都在几天内修复列入 KEV 的漏洞
维护边缘设备、版本和管理界面暴露情况的清单

本站认为，边缘设备打完补丁并不等于处理完毕。对于 Ivanti Connect Secure，CISA 写道，厂商自己的检查工具可能漏掉被利用的情况，并且据报道还有另一个未修复的漏洞。打补丁可以堵住入口，但不能清除已经进入的攻击者。对于列入 KEV 的边缘设备，请把升级、检查是否被入侵和轮换凭据视为同一项工作。

如何找出暴露的管理界面，请参阅如何防御 VPN 设备和远程访问；如何利用 KEV 确定优先级，请参阅如何决定优先修复哪些 CVE（CVSS、EPSS、KEV）。同一个月里，一个 SD-WAN 管理平台也被利用（VeloCloud Orchestrator CVE-2026-114625）。

来源

CISA，Known Exploited Vulnerabilities Catalog（JSON feed，2026年10月23日版本）— cisa.gov
CISA，"CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure"（2026年10月13日）— cisa.gov
Ivanti，Security Advisory Ivanti Connect Secure (CVE-2026-104935) — hub.ivanti.com
Ivanti，"October 2026 Security Update"（2026年10月13日）— ivanti.com
新加坡 CSA，"Active Exploitation of Vulnerability in Ivanti Connect Secure"（AL-2026-147）— csa.gov.sg
一家美国安全公司对 Ivanti Connect Secure 攻击的分析（2026年10月13日）— 安全公司博客
Palo Alto Networks，"CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface" — security.paloaltonetworks.com
Fortinet，FG-IR-26-122 "Path Traversal in CLI"（CVE-2025-61624）— fortiguard.fortinet.com
Cisco，"Cisco Secure Email Gateway Arbitrary File Write Vulnerability"（cisco-sa-esa-afw-zqYJkjxp）— cisco.com
Atlassian，"CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products" — confluence.atlassian.com

更新记录

2026-10-24：首次发布。基于各厂商的公告以及 CISA 的 KEV 目录和警报。

FAQ

Q发生了什么？

2026年10月13日至16日，CISA 将 Ivanti Connect Secure（CVE-2026-104935）、Palo Alto Networks PAN-OS（CVE-2026-0322）、Fortinet FortiOS 及相关产品（CVE-2025-61624）、Cisco Secure Email Gateway（CVE-2026-76519）和 Atlassian Data Center 产品（CVE-2026-21589）的漏洞加入其已知被利用漏洞（KEV）目录。各厂商均已发布修复。

Q应该先处理哪一个？

先处理 Ivanti Connect Secure 和 Cisco Secure Email Gateway，因为它们无需登录即可被利用。PAN-OS 和 FortiOS 需要高权限或管理员登录，但如果其管理界面可从互联网访问，请当天修复。CISA 为联邦机构设定的截止日期（10月16日至19日）已经过去。

QIvanti Connect Secure 的修复版本是什么？

受影响版本为 25.1.1.1 及更早、25.1.2.2 及更早，以及 22.8R2.4 及更早（CISA 警报）。请在 Ivanti 的安全公告中确认您所用代码线的修复版本。CISA 指出，22.8 系列将于2027年1月31日终止支持。

Q升级就够了吗？

不够。升级不能清除在升级之前已经入侵的攻击者。对于 Ivanti Connect Secure，CISA 表示 Ivanti 的 Integrity Checker Tool 可能无法检测到被利用的情况，需要进行网络和内存取证。Cisco 的公告也包含检查入侵迹象的步骤。

Q我们使用云版本，需要做什么吗？

Palo Alto Networks 表示 Cloud NGFW 和 Prisma Access 不受影响。Cisco 表示云端修复已经应用，客户无需更新任何内容，但对于发现入侵指标的云客户，Cisco 已直接联系，并强烈建议他们更新凭据和加密材料。Atlassian 表示其云产品曾受影响，但已完成修补。只有自行管理的设备和服务器需要更新。

Q如何找出哪些管理界面可从互联网访问？

在外部网络上测试您的公网 IP 地址上的管理端口是否有响应。同时检查防火墙规则，确保只有管理网络能够访问管理界面。具体步骤见本站的 VPN 设备和远程访问防御指南。