資安指南

#漏洞 #CVE-2026-104935 #CVE-2026-0322 #CVE-2025-61624 #CVE-2026-76519 #CVE-2026-21589 #Ivanti #Palo Alto Networks #Fortinet #Cisco #VPN #部署

2026 年 10 月中旬遭利用的邊緣設備漏洞：Ivanti、PAN-OS、FortiOS、Cisco

2026 年 10 月 13 至 16 日列入 CISA KEV 的邊緣設備漏洞：Ivanti Connect Secure CVE-2026-104935、PAN-OS CVE-2026-0322、FortiOS CVE-2025-61624 與 Cisco Secure Email Gateway CVE-2026-76519。受影響與已修復版本，以及應檢查的項目。

發布於 2026-10-24 更新於 2026-10-24 最後核實 2026-10-24 閱讀時間 6 分鐘

本頁內容

適用對象：管理 VPN 設備、防火牆、郵件閘道及其他邊緣設備（位於您的網路與網際網路之間的設備）的網路與資安團隊。本頁依據廠商的安全公告與 CISA 的公開資料撰寫，不說明攻擊如何運作。

持續發展中：有新資訊時本頁將更新

截至 2026 年 10 月 24 日

尚未得知

各程式碼分支的 Ivanti Connect Secure 修復版本（本站無法取得 Ivanti 公告的內文）
已被報導的 Ivanti Connect Secure 權限提升漏洞的修復
每個漏洞影響了多少組織

五個漏洞均已列入 KEV，各廠商均已發布修復。就 Ivanti Connect Secure 而言，據報導同一波攻擊中使用的權限提升漏洞，其修復尚未發布。公告更新時，本頁將隨之更新。

快速檢查：這是否影響您？

下表列出各漏洞加入 KEV（CISA 的已知遭利用漏洞目錄）的日期，以及 KEV 中記錄的美國聯邦機關處理期限。

產品	CVE	是否需要登入？	KEV 加入日／期限	該做什麼
Ivanti Connect Secure（VPN）	CVE-2026-104935	否	10 月 13 日／10 月 16 日	升級；調查是否已遭入侵
Palo Alto Networks PAN-OS（防火牆）	CVE-2026-0322	是（高權限）	10 月 14 日／10 月 17 日	升級；限制管理存取
Fortinet FortiOS 及其他	CVE-2025-61624	是（管理員）	10 月 16 日／10 月 19 日	升級；從 7.2 及更早版本遷移
Cisco Secure Email Gateway	CVE-2026-76519	否	10 月 14 日／10 月 17 日	更新 Content Scanner Tools 或 AsyncOS
Atlassian Data Center 產品	CVE-2026-21589	否	10 月 15 日／10 月 18 日	升級；限制外部存取

本文涵蓋的漏洞，於 10 月 13 至 16 日加入 KEV

其中無需登入即可被利用者

3 天

從列入 KEV 到聯邦期限

已逾期

五項期限在 10 月 24 日前均已過

10 月 13 日

加入 Ivanti（期限 16 日）

10 月 14 日

加入 PAN-OS、Cisco（期限 17 日）

10 月 15 日

加入 Atlassian（期限 18 日）

10 月 16 日

加入 Fortinet（期限 19 日）

各漏洞加入 KEV 的日期與聯邦期限。每一項的期限都是列入後三天。

Ivanti Connect Secure（CVE-2026-104935）

CVE-2026-104935

類型: 透過偽造的驗證繞過（CWE-290）。遠端未經驗證的攻擊者可執行任意指令
嚴重程度: CVSS v3.1 8.6
受影響版本: 25.1.1.1 及更早、25.1.2.2 及更早、22.8R2.4 及更早（CISA 警示）
已修復: 請在 Ivanti 的公告中確認您所用程式碼分支的修復版本
遭利用情形: Ivanti 在揭露時表示，已知有限度的實際遭利用情形。CISA 於 10 月 13 日將其加入 KEV，並指出該漏洞被用於竊取憑證與外洩資料

Ivanti 於 10 月 13 日發布公告；同日在部落格文章中，Ivanti 請使用受影響版本的客戶立即升級至已修復版本，並定期執行其 Integrity Checker Tool。本站無法取得 Ivanti 公告的內文，因此此處未列出修復版本號。請至公告確認您所用程式碼分支的修復版本。根據 CISA，22.8 分支將於 2027 年 1 月 31 日終止支援。

CISA 表示，由於攻擊者的指令在記憶體中執行，Ivanti 的 Integrity Checker Tool 可能偵測不到利用行為，需要進行網路與記憶體鑑識，才能判斷是否已遭入侵。若懷疑已遭入侵，CISA 建議採取以下步驟。

備份設定

備份設備的設定。

恢復原廠設定並升級

將設備恢復為原廠設定，並升級至最新版本。對於虛擬與雲端系統，請重建執行個體後再升級。

還原設定

從備份還原設定。

輪換憑證

重設所有網域、管理員與本機帳號的密碼，撤銷並重新核發已儲存的證書，並重設已儲存的 API 金鑰與授權伺服器憑證。

已有報導，尚未證實

一家調查這些攻擊的美國資安公司於 10 月 13 日撰文指出，該公司自 10 月 3 日起觀察到利用行為，且攻擊串接了三個漏洞：驗證繞過、檔案寫入與權限提升。該公司表示，Ivanti 計畫在未來幾週的版本中修復該權限提升漏洞。本站無法在 Ivanti 公告的內文中證實此事。升級後，請持續留意 Ivanti 的下一份公告。

Palo Alto Networks PAN-OS（CVE-2026-0322）

CVE-2026-0322

類型: 管理介面中的程式碼注入（CWE-94）。經驗證的攻擊者可在防火牆上以 root 身分執行任意程式碼
嚴重程度: CVSS v4.0 8.6；若管理存取限制在跳板機，則為 8.5
條件: 可連到管理介面的網路存取，以及高權限登入。無需特殊設定
受影響版本: PA-Series、VM-Series 與 Panorama 上的 PAN-OS 10.2、11.1、11.2、12.1 與 12.2
不受影響: Cloud NGFW 與 Prisma Access（無需處理）
遭利用情形: Palo Alto Networks 表示已觀察到針對管理介面、規模非常有限的利用行為

修復版本依版本系列與熱修復（-h）等級細分。各系列最高的修復版本為：12.2.4 或更新、12.1.10-h2 或更新、11.2.16 或更新、11.1.16-h3 或更新，以及 10.2.18-h12 或更新。中間版本的熱修復版本（例如 11.2.13-h3）請查閱公告中的表格。不受支援的版本應遷移至受支援的已修復版本。

公告指出目前沒有已知的因應措施。當管理介面可從網際網路連線時風險最高，廠商建議只允許來自受信任內部 IP 位址的管理存取。使用 Threat Prevention 的客戶可透過 Threat ID 510046 與 510047 取得有限的防護，這需要 SSL 解密。建議的修復方式是升級。

Fortinet FortiOS 及其他（CVE-2025-61624）

CVE-2025-61624（FG-IR-26-122）

類型: CLI 中的路徑穿越（CWE-22）。具權限的攻擊者可對既有指令傳入精心構造的參數，進而寫入或刪除任意檔案
嚴重程度: CVSS v3 6.0（Fortinet 評為中等）
條件: 管理員登入。KEV 指出需要至少具讀寫權限的管理員設定檔
發布: 2026 年 4 月 14 日（初始公告）。10 月 16 日加入 KEV
遭利用情形: 公告列為已知遭利用：是，未提供更多細節

此漏洞已於六個月前揭露，直到現在才列入 KEV。若您在 4 月時因其屬中等嚴重度且僅限管理員而延後處理，請現在重新檢視。

產品	受影響版本	處理方式
FortiOS 7.6	7.6.0 至 7.6.4	升級至 7.6.5 或更新
FortiOS 7.4	7.4.0 至 7.4.9	升級至 7.4.10 或更新
FortiOS 7.2、7.0、6.4	所有版本	遷移至已修復的版本
FortiProxy 7.6 / 7.4	7.6.0-7.6.4 / 7.4.0-7.4.11	7.6.5+ / 7.4.12+（從 7.2、7.0 遷移）
FortiPAM 1.7	1.7.0	1.7.1+（從 1.6 及更早版本遷移；1.8 不受影響）
FortiSwitchManager 7.2 / 7.0	7.2.0-7.2.7 / 7.0.0-7.0.6	7.2.8+ / 7.0.7+

公告未列出因應措施。Fortinet 表示已提供虛擬修補（FortiGuard 特徵碼）。由於前提是取得管理員帳號，請限制可連到管理介面的對象、停用不使用的管理員帳號，並要求管理員登入使用多因素驗證（本站的建議）。

Cisco Secure Email Gateway（CVE-2026-76519）

CVE-2026-76519（cisco-sa-esa-afw-zqYJkjxp）

類型: 相對路徑穿越（CWE-23），導致任意檔案寫入。由帶有精心構造附件的電子郵件觸發，並可能導致以 root 身分執行指令
嚴重程度: CVSS v3.1 9.8
條件: 無需登入。僅在已啟用 File Reputation（Cisco AMP 的一部分）並指派給郵件政策，且 Content Scanner Tools 早於 25.3.0.5525 時才受影響
已修復: Content Scanner Tools 25.3.0.5525 或更新（無需重新啟動），或 AsyncOS 15.5.5-014 或 16.5.0-780。16.0 及 16.5 之前的版本應遷移至 16.5.0-780
不受影響: Secure Email and Web Manager、Secure Web Appliance。Cisco 已修復雲端服務，客戶無需更新，但已聯絡有入侵指標的客戶，並建議更新憑證與金鑰
遭利用情形: Cisco PSIRT 表示於 2026 年 10 月得知有活躍的利用行為

此漏洞沒有因應措施。接收郵件的一端無法關閉，但 Cisco 的強化建議是將管理流量與郵件流量分開到不同的網路介面，並且只允許已知且受信任的主機連到該設備。在網頁介面中，請檢查郵件政策的 Advanced Malware Protection 設定下是否勾選了 Enable File Reputation，並在 CLI 中檢查 Content Scanner Tools 的版本（contentscannerstatus）。若受影響，請更新 Content Scanner Tools。開啟自動更新有助於更快取得下一次修復。

Cisco 的公告附有檢查系統日誌中入侵跡象的程序；請在每個叢集成員上執行。若發現指標，或掃描未完成，Cisco 請您聯絡 Cisco TAC。由於 root 存取讓攻擊者能隱藏證據，Cisco 也建議檢視網路與防火牆日誌，找出向外部位址進行的可疑上傳。

Atlassian Data Center 產品（CVE-2026-21589）

10 月 5 日，Atlassian 揭露一個漏洞，讓未經驗證的攻擊者能讀取 Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo 與 Crowd Data Center 所有版本，以及 Crucible 與 Fisheye 中網頁應用程式根目錄內的特定檔案（CVSS v4.0 9.3，為 Atlassian 的評分）。該漏洞於 10 月 15 日加入 KEV。Atlassian 表示無法確認客戶的執行個體是否已受影響，並建議請資安團隊檢查其是否有入侵跡象。雲端產品已修補。

修復版本因產品而異（例如 Confluence Data Center 9.2.26 與 10.2.19；Jira Software Data Center 9.12.40、10.3.26 與 11.3.12）。若無法立即升級，Atlassian 建議讓該執行個體離開網際網路或限制外部存取，並以 WAF 或反向代理規則封鎖可疑的 URL。

這五項的共同點

這五項都位於可從網際網路連線的設備或伺服器上，被利用後可能讓攻擊者取得進入內部網路的途徑。即使是需要登入的兩項（PAN-OS 與 FortiOS），只要管理介面對網際網路開放，管理員密碼一旦被竊，就可能被利用。

下次還會重蹈覆轍的做法

管理介面可從網際網路上任何地方連線
套用修補後就視為完成
因為需要登入而延後處理漏洞
沒有所使用的產品與版本清冊

能降低下次損害的做法

管理介面只能從管理網路或透過 VPN 連線
升級前保存日誌，並依廠商指引檢查是否已遭入侵
無論是否需要登入，都在數日內修復列入 KEV 的漏洞
建立邊緣設備、版本與管理介面暴露情形的清冊

本站認為，邊緣設備不是修補後就結束。以 Ivanti Connect Secure 為例，CISA 指出廠商自己的檢查工具可能漏掉利用行為，且另有一個尚未修復的漏洞被報導。修補能關閉入口，但無法移除已在內部的攻擊者。對於列入 KEV 的邊緣設備，請將升級、檢查是否遭入侵與輪換憑證視為同一項工作。

如何找出暴露的管理介面，請見如何防護 VPN 設備與遠端存取；如何利用 KEV 排定優先順序，請見如何決定優先修補哪些 CVE（CVSS、EPSS、KEV）。同月，一個 SD-WAN 管理平台也遭到利用（VeloCloud Orchestrator CVE-2026-114625）。

資料來源

CISA, Known Exploited Vulnerabilities Catalog（JSON feed，2026 年 10 月 23 日版本）— cisa.gov
CISA, "CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure"（2026 年 10 月 13 日）— cisa.gov
Ivanti, Security Advisory Ivanti Connect Secure (CVE-2026-104935) — hub.ivanti.com
Ivanti, "October 2026 Security Update"（2026 年 10 月 13 日）— ivanti.com
Singapore CSA, "Active Exploitation of Vulnerability in Ivanti Connect Secure"（AL-2026-147）— csa.gov.sg
一家美國資安公司對 Ivanti Connect Secure 攻擊的分析（2026 年 10 月 13 日）— 資安公司部落格
Palo Alto Networks, "CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface" — security.paloaltonetworks.com
Fortinet, FG-IR-26-122 "Path Traversal in CLI" (CVE-2025-61624) — fortiguard.fortinet.com
Cisco, "Cisco Secure Email Gateway Arbitrary File Write Vulnerability" (cisco-sa-esa-afw-zqYJkjxp) — cisco.com
Atlassian, "CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products" — confluence.atlassian.com

更新紀錄

2026-10-24：首次發布。依據各廠商的公告，以及 CISA 的 KEV 目錄與警示。

FAQ

Q發生了什麼事？

2026 年 10 月 13 日至 16 日，CISA 將 Ivanti Connect Secure（CVE-2026-104935）、Palo Alto Networks PAN-OS（CVE-2026-0322）、Fortinet FortiOS 及相關產品（CVE-2025-61624）、Cisco Secure Email Gateway（CVE-2026-76519）以及 Atlassian Data Center 產品（CVE-2026-21589）的漏洞加入已知遭利用漏洞（KEV）目錄。各廠商均已發布修復。

Q應該先處理哪一個？

先處理 Ivanti Connect Secure 與 Cisco Secure Email Gateway，因為這兩者無需登入即可被利用。PAN-OS 與 FortiOS 需要高權限或管理員登入，但若其管理介面可從網際網路連線，請當天修復。CISA 對聯邦機關設定的期限（10 月 16 至 19 日）已經過了。

QIvanti Connect Secure 的修復版本是什麼？

受影響版本為 25.1.1.1 及更早、25.1.2.2 及更早，以及 22.8R2.4 及更早（CISA 警示）。請在 Ivanti 的安全公告中確認您所用程式碼分支的修復版本。CISA 指出，22.8 分支將於 2027 年 1 月 31 日終止支援。

Q只要升級就夠了嗎？

不夠。升級無法移除在升級前已入侵的攻擊者。針對 Ivanti Connect Secure，CISA 表示 Ivanti 的 Integrity Checker Tool 可能偵測不到利用行為，需要進行網路與記憶體鑑識。Cisco 的公告也附有檢查入侵跡象的程序。

Q我們使用雲端版本，需要做什麼嗎？

Palo Alto Networks 表示 Cloud NGFW 與 Prisma Access 不受影響。Cisco 表示雲端修復已套用，客戶無需更新任何項目，但已直接聯絡發現入侵指標的雲端客戶，並強烈建議他們更新憑證與加密材料。Atlassian 表示其雲端產品曾受影響，但已修補。只有自行管理的設備與伺服器需要更新。

Q如何找出哪些管理介面可從網際網路連線？

從外部網路測試您的公用 IP 位址上的管理連接埠是否有回應。同時檢視防火牆規則，確保只有管理網路能連到管理介面。相關步驟請見本站的 VPN 設備與遠端存取防護指南。