适用对象：Ivanti Connect Secure（VPN 设备）的管理员。本文基于 CISA 的 KEV 目录和警报、NVD 以及一家研究公司的博客，不包含攻击步骤或利用代码。我们无法读取 Ivanti 自己的公告（页面未能加载），因此此处不提供修复版本号。
持续更新中：随着更多信息发布，本页面将会更新
截至2026年10月31日（日本时间）尚不清楚
- 三个漏洞各自的修复版本（我们无法读取 Ivanti 的公告）
- CVE-2026-118527 是否已有修复
- NVD 中 CVE-2026-118527 的记录（截至我们核查时在 NVD 中未找到）
- 有多少组织受影响，以及攻击的幕后是谁
CISA 于10月30日将 CVE-2026-111357 和 CVE-2026-118527 加入 KEV 目录，并在当天更新了警报。CVE-2026-104935 于10月13日加入。我们于10月31日核查了 CISA 的 KEV 数据源、CISA 的警报、NVD 以及该研究公司的博客。
今天要做的事
列出您的 Connect Secure 设备及版本
包括虚拟设备和云设备。CISA 列出的受影响版本为 25.1.1.2 及更早、25.1.2.2 及更早，以及 22.8R2.5 及更早。据 CISA 称，22.8 版本将于2027年1月31日终止支持，因此也请规划迁移到 25.x。
更新到最新版本
CISA 要求各组织按照 Ivanti 的公告及其 25.x 升级与迁移兼容性指南，更新到最新版本。我们无法读取该公告，因此在开始之前，请在该处确认您所用版本线的修复版本。
检查是否已被入侵，而不只是检查是否已打补丁
该研究公司和 CISA 都表示，完整性检查工具可能漏检对 CVE-2026-104935 的利用。CISA 称，判断是否已被入侵需要网络和内存取证。如果该设备自10月初起曾可从互联网访问，请在更新之前或同时，请您的事件响应服务商进行此项工作（本站判断）。此外，还应按该研究公司的建议，审查源自该设备的横向移动尝试。
如果怀疑已被入侵，请重建并重置凭据
CISA 在10月13日警报中的指引涵盖了这一点：备份配置，恢复出厂状态并升级（虚拟设备和云设备需重建），恢复配置，然后更换凭据。这包括域账户、管理员账户和本地账户的密码、存储在设备上的证书、API 密钥以及许可证服务器凭据。
在确认安全之前，切断它能访问的范围
将设备的管理接口限制在管理网络内，并审查该设备在您的网络内可以访问什么。请事先决定，如果必须将其下线，远程办公人员如何连接。
可串联利用的三个漏洞
- CVE-2026-104935
- 通过欺骗绕过身份验证；未经身份验证的远程攻击者可以执行任意命令（CISA KEV，10月13日加入）。已在本站10月汇总中介绍
- CVE-2026-111357
- 关键功能缺少身份验证（CISA）；NVD 将其描述为导致提权至 root 的缺陷。CVSS v3.1 7.0（本地、高复杂度、低权限）。10月30日加入 KEV；期限11月2日；取证分诊：是
- CVE-2026-118527
- 生成可预测的标识符（CWE-340）；已通过身份验证的远程攻击者可以将内容由攻击者控制的文件上传到磁盘上的已知位置。10月30日加入 KEV；期限11月13日；取证分诊：否
- 串联
- CISA 表示，CVE-2026-111357 和 CVE-2026-118527 都可与 CVE-2026-104935 串联利用（两者之间也可串联）。CISA 称，利用这些漏洞可实现远程、未经身份验证的任意命令执行，并被用于窃取凭据和外泄数据
- 受影响版本
- 25.1.1.2 及更早、25.1.2.2 及更早、22.8R2.5 及更早（CISA 警报，10月30日更新）
- 修复
- CVE-2026-104935：10月13日已发布补丁（研究公司）。CVE-2026-111357：研究公司称补丁已于10月29日发布。CVE-2026-118527：未找到。请在 Ivanti 的公告中确认
为什么 CVSS 评分只有 7.0：单独来看，CVE-2026-111357 需要本地访问和一个低权限账户。该评分并未反映串联利用的情况。据该研究公司的报告，将身份验证绕过、文件处理缺陷和这个提权漏洞组合在一起，可以对一台当时已完全打补丁（22.8R2.4）的设备获得未经身份验证的 root 级控制。请根据攻击链而不是单个评分来评估您的风险（本站判断）。
各版本列表并不完全一致。NVD 对 CVE-2026-111357 的描述提到 22.8R2.4，而 NVD 的受影响列表包括 22.8R2 至 22.8R2.5，以及 25.1.1.3 之前的 25.1 版本。CISA 的列表范围更广（25.1.2.2 及更早）。在 Ivanti 的公告给出定论之前，请采用最宽的列表。
1. 身份验证绕过
CVE-2026-104935（10月13日加入 KEV）
2. 文件上传
CVE-2026-118527（10月30日加入 KEV）
3. 提权至 root
CVE-2026-111357（10月30日加入 KEV）
时间线
10月3日
一家美国研究公司称，其看到利用行为开始（其博客，发布于10月13日）。10月13日
据该研究公司称，Ivanti 发布了身份验证绕过漏洞的补丁；CISA 将 CVE-2026-104935 加入 KEV；该研究公司发布了其发现。10月29日
该研究公司更新其博客，称 Ivanti 已发布提权漏洞的补丁。10月30日
CISA 将 CVE-2026-111357（期限11月2日）和 CVE-2026-118527（期限11月13日）加入 KEV，并更新了其警报和受影响版本。
已知与未知的信息
| 项目 | 状态 |
|---|---|
| 利用情况 | CISA 将三者全部列入 KEV；据称攻击者窃取凭据和数据 |
| 利用开始时间 | 据一家研究公司称为10月3日；在我们能读到的内容中，Ivanti 未予确认 |
| 修复版本 | 我们未能确认；Ivanti 的公告未能加载 |
| CVE-2026-118527 的修复 | 未找到 |
| CVE-2026-111357 的 NVD 记录 | 已分析；CVSS 7.0 由 CVE.org 的记录提供；CISA 协调方将利用情况标记为“active”，技术影响标记为“total” |
| CVE-2026-118527 的 NVD 记录 | 截至我们核查时未找到记录 |
| 谁在攻击，以及有多少受害者 | 未披露 |
信息来源
核查日期：2026年10月31日（日本时间）。
- CISA，Known Exploited Vulnerabilities Catalog（CVE-2026-111357 和 CVE-2026-118527 于2026年10月30日加入）— cisa.gov
- CISA，"CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure"（2026年10月30日更新）— cisa.gov
- NVD，CVE-2026-111357 — nvd.nist.gov
- Ivanti，"Security Advisory Ivanti Connect Secure (CVE-2026-104935)" — hub.ivanti.com（我们核查时未能加载；修复版本须在此确认）
- 安全研究公司的博客，"A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days"（2026年10月13日，10月29日更新）— 博客
更新记录
2026-10-31：首版，基于 CISA 的 KEV 目录和警报、NVD 以及一家研究公司的博客。
延伸阅读
- 攻击链中的第一个漏洞：被利用的边缘设备漏洞，2026年10月中旬
- 保护 VPN 设备：如何保护 VPN 设备和远程访问
- 确定修复优先级：如何决定先修复哪些 CVE（CVSS、EPSS、KEV）
- 应对步骤：漏洞修复手册
- 术语：什么是 CVSS？