適用對象：Ivanti Connect Secure（VPN 設備）的管理員。本文根據 CISA 的 KEV 目錄與警示、NVD 以及一家研究公司的部落格撰寫，不包含攻擊步驟或利用程式碼。我們無法讀取 Ivanti 自己的公告（頁面未能載入），因此此處不提供修補版本號。
進行中：隨著更多資訊公布，本頁將持續更新
截至2026年10月31日（日本時間）尚不清楚
- 三個漏洞各自的修補版本（我們無法讀取 Ivanti 的公告）
- CVE-2026-118527 是否已有修補
- NVD 中 CVE-2026-118527 的紀錄（截至我們查核時在 NVD 中未找到）
- 有多少組織受影響，以及攻擊的幕後是誰
CISA 於10月30日將 CVE-2026-111357 與 CVE-2026-118527 加入 KEV 目錄，並在當天更新了警示。CVE-2026-104935 於10月13日加入。我們於10月31日查核了 CISA 的 KEV 資料來源、CISA 的警示、NVD 以及該研究公司的部落格。
今天要做的事
列出您的 Connect Secure 設備及版本
包括虛擬設備與雲端設備。CISA 列出的受影響版本為 25.1.1.2 及更早、25.1.2.2 及更早，以及 22.8R2.5 及更早。據 CISA 稱，22.8 版本將於2027年1月31日終止支援，因此也請規劃遷移至 25.x。
更新至最新版本
CISA 要求各組織依照 Ivanti 的公告及其 25.x 升級與遷移相容性指南，更新至最新版本。我們無法讀取該公告，因此在開始之前，請在該處確認您所用版本線的修補版本。
檢查是否已遭入侵，而不只是檢查是否已套用修補
該研究公司與 CISA 都表示，完整性檢查工具可能漏檢對 CVE-2026-104935 的利用。CISA 稱，判斷是否已遭入侵需要網路與記憶體鑑識。如果該設備自10月初起曾可從網際網路存取，請在更新之前或同時，請您的事件應變服務商進行此項工作（本站判斷）。此外，還應依該研究公司的建議，檢視源自該設備的橫向移動嘗試。
如果懷疑已遭入侵，請重建並重設憑證
CISA 在10月13日警示中的指引涵蓋了這一點：備份設定，還原至原廠狀態並升級（虛擬設備與雲端設備需重建），還原設定，然後更換憑證。這包括網域帳號、管理員帳號與本機帳號的密碼、儲存在設備上的憑證、API 金鑰，以及授權伺服器憑證。
在確認安全之前，切斷它能存取的範圍
將設備的管理介面限制在管理網路內，並檢視該設備在您的網路內可以存取什麼。請事先決定，如果必須將其下線，遠端工作人員如何連線。
可串聯利用的三個漏洞
- CVE-2026-104935
- 透過偽造繞過身分驗證；未經身分驗證的遠端攻擊者可以執行任意指令（CISA KEV，10月13日加入）。已在本站10月彙整中介紹
- CVE-2026-111357
- 關鍵功能缺少身分驗證（CISA）；NVD 將其描述為導致提權至 root 的缺陷。CVSS v3.1 7.0（本機、高複雜度、低權限）。10月30日加入 KEV；期限11月2日；鑑識分流：是
- CVE-2026-118527
- 產生可預測的識別碼（CWE-340）；已通過身分驗證的遠端攻擊者可以將內容由攻擊者控制的檔案上傳到磁碟上的已知位置。10月30日加入 KEV；期限11月13日；鑑識分流：否
- 串聯
- CISA 表示，CVE-2026-111357 與 CVE-2026-118527 都可與 CVE-2026-104935 串聯利用（兩者之間也可串聯）。CISA 稱，利用這些漏洞可實現遠端、未經身分驗證的任意指令執行，並被用於竊取憑證與外洩資料
- 受影響版本
- 25.1.1.2 及更早、25.1.2.2 及更早、22.8R2.5 及更早（CISA 警示，10月30日更新）
- 修補
- CVE-2026-104935：10月13日已發布修補程式（研究公司）。CVE-2026-111357：研究公司稱修補程式已於10月29日發布。CVE-2026-118527：未找到。請在 Ivanti 的公告中確認
為什麼 CVSS 分數只有 7.0：單獨來看，CVE-2026-111357 需要本機存取與一個低權限帳號。該分數並未反映串聯利用的情況。據該研究公司的報告，將身分驗證繞過、檔案處理缺陷與這個提權漏洞組合在一起，可以對一台當時已完全修補（22.8R2.4）的設備取得未經身分驗證的 root 等級控制。請根據攻擊鏈而不是單一分數來評估您的風險（本站判斷）。
各版本清單並不完全一致。NVD 對 CVE-2026-111357 的描述提到 22.8R2.4，而 NVD 的受影響清單包括 22.8R2 至 22.8R2.5，以及 25.1.1.3 之前的 25.1 版本。CISA 的清單範圍更廣（25.1.2.2 及更早）。在 Ivanti 的公告給出定論之前，請採用最寬的清單。
1. 身分驗證繞過
CVE-2026-104935（10月13日加入 KEV）
2. 檔案上傳
CVE-2026-118527（10月30日加入 KEV）
3. 提權至 root
CVE-2026-111357（10月30日加入 KEV）
時間軸
10月3日
一家美國研究公司稱，其看到利用行為開始（其部落格，發布於10月13日）。10月13日
據該研究公司稱，Ivanti 發布了身分驗證繞過漏洞的修補程式；CISA 將 CVE-2026-104935 加入 KEV；該研究公司發表了其發現。10月29日
該研究公司更新其部落格，稱 Ivanti 已發布提權漏洞的修補程式。10月30日
CISA 將 CVE-2026-111357（期限11月2日）與 CVE-2026-118527（期限11月13日）加入 KEV，並更新了其警示與受影響版本。
已知與未知的資訊
| 項目 | 狀態 |
|---|---|
| 利用情況 | CISA 將三者全部列入 KEV；據稱攻擊者竊取憑證與資料 |
| 利用開始時間 | 據一家研究公司稱為10月3日；在我們能讀到的內容中，Ivanti 未予確認 |
| 修補版本 | 我們未能確認；Ivanti 的公告未能載入 |
| CVE-2026-118527 的修補 | 未找到 |
| CVE-2026-111357 的 NVD 紀錄 | 已分析；CVSS 7.0 由 CVE.org 的紀錄提供；CISA 協調方將利用情況標記為「active」，技術影響標記為「total」 |
| CVE-2026-118527 的 NVD 紀錄 | 截至我們查核時未找到紀錄 |
| 誰在攻擊，以及有多少受害者 | 未揭露 |
資料來源
查核日期：2026年10月31日（日本時間）。
- CISA，Known Exploited Vulnerabilities Catalog（CVE-2026-111357 與 CVE-2026-118527 於2026年10月30日加入）— cisa.gov
- CISA，"CISA Urges Patching Newly Exploited Vulnerability in Ivanti Connect Secure"（2026年10月30日更新）— cisa.gov
- NVD，CVE-2026-111357 — nvd.nist.gov
- Ivanti，"Security Advisory Ivanti Connect Secure (CVE-2026-104935)" — hub.ivanti.com（我們查核時未能載入；修補版本須在此確認）
- 資安研究公司的部落格，"A Series of Unauthenticated Events: Chained Exploitation of Ivanti Connect Secure Zero-Days"（2026年10月13日，10月29日更新）— 部落格
更新紀錄
2026-10-31：初版，根據 CISA 的 KEV 目錄與警示、NVD 以及一家研究公司的部落格。
延伸閱讀
- 攻擊鏈中的第一個漏洞：遭利用的邊緣設備漏洞，2026年10月中旬
- 保護 VPN 設備：如何保護 VPN 設備與遠端存取
- 決定修補優先順序：如何決定先修補哪些 CVE（CVSS、EPSS、KEV）
- 應對步驟：漏洞修補手冊
- 術語：什麼是 CVSS？