CISA KEV 目录更新新增两个遭利用漏洞，并设定三天修复期限

CISA 于 10 月 13 日将两个正在被积极利用的漏洞纳入其目录，要求联邦机构仅在三天内完成处置。本次 CISA KEV 目录更新涵盖 Microsoft Windows 中的 CVE-2026-96951，以及 Ivanti Connect Secure 中的 CVE-2026-104935。两者的严重性评分均较高，但技术攻击路径和运营风险存在显著差异。

如此紧迫的期限首先表明，这并非一次例行目录更新。CISA 的已知被利用漏洞目录（Known Exploited Vulnerabilities，KEV）追踪有真实世界利用证据支持的漏洞。其条目反映的是已观察到的攻击者行为，而不只是理论上的严重性。

更深层的担忧来自 Ivanti 案件。调查人员发现，攻击者针对一台已完全打补丁的 VPN 设备串联利用多个零日漏洞，获得 root 权限并清除证据。Windows 漏洞的产品暴露面更广，而 Ivanti 入侵事件则说明，安装补丁并不能自动证明系统未遭入侵。

本次 CISA KEV 目录更新带来了哪些变化

由于攻击者已经在利用这两个新披露的漏洞，CISA 将其列为需要立即修复的优先事项。

该机构的 KEV 新增条目将 CVE-2026-96951 列为 Microsoft Windows 命令注入漏洞。第二个条目 CVE-2026-104935，则是影响 Ivanti Connect Secure 的身份验证绕过漏洞。

CISA 于 2026 年 10 月 13 日将这两个漏洞纳入目录。联邦民用行政部门机构须在 10 月 16 日前完成修复，从目录录入到采取强制行动之间仅有三个自然日。

这一时间安排至关重要。漏洞管理计划通常会根据严重性评级、资产价值、暴露程度、维护窗口和可用人员来确定工作优先级。三天期限将整个流程压缩为紧急响应周期。

CISA 的行动要求援引《约束性运营指令 26-04》（Binding Operational Directive 26-04），其标题为“基于风险确定安全更新优先级”。该指令适用于联邦民用机构，但该目录也为私营组织提供公开的优先级参考。

该目录并不声称每个受影响系统都已遭攻击。它表明 CISA 已接受证据，证明这些漏洞已在现实环境中被成功利用。各组织仍需确定自己是否拥有受影响产品、这些资产是否暴露，以及是否已经发生入侵。

第一个漏洞 CVE-2026-96951 影响 Windows Shell。当软件未能妥善中和特殊命令元素时，就会发生命令注入，使攻击者控制的输入能够改变系统执行的内容。

Microsoft 的 CVE 记录为该漏洞给出了 8.8 的 CVSS 3.1 基础评分，归类为高严重性。攻击向量描述了一种可通过网络触达、复杂度低、无需权限但需要用户交互的攻击。成功利用可能显著影响机密性、完整性和可用性。

公开记录列出的受影响产品包括多个 Windows 10、Windows 11 和 Windows Server 版本。Outlook.com 也出现在产品数据中。管理员应以 Microsoft 的 Windows 安全更新为支持版本和修复方案的权威指南。

第二个漏洞 CVE-2026-104935 影响 Ivanti Connect Secure，这是一种常部署在网络边界的企业远程访问网关。其身份验证绕过漏洞可让远程、未经身份验证的攻击者在受影响设备上执行任意命令。

Ivanti 为该漏洞评定了 8.6 的 CVSS 3.1 评分，同样属于高严重性。与 Windows 漏洞不同，其攻击向量不需要用户交互。存在漏洞且可被访问的设备可以直接接收恶意请求。

Ivanti 漏洞影响受支持分支中低于指定修复版本的发行版。Ivanti 表示，Connect Secure 22.7R2.14 及更早版本不含这一特定漏洞。该例外不应被解读为对旧版软件整体安全性的认可。

因此，本次 CISA KEV 目录更新形成了两条不同的响应路径。Windows 团队必须在可能规模庞大的终端和服务器环境中部署操作系统更新。网络和事件响应团队则必须将易受攻击的 Ivanti 网关视为潜在的初始访问入口。

两者的共同点是存在活跃利用。响应细节不能被简化为“立即打补丁”这一条通用指令，因为两个产品在修复后所需的证据核查并不相同。

三天期限改变了补丁决策

核心矛盾不再是严重性与便利性之间的取舍，而是快速修复与遗漏既有入侵风险之间的平衡。

KEV 目录的存在，是为了帮助组织从数量远多得多的已公开 CVE 中识别攻击者实际使用的漏洞。较高的 CVSS 评分描述的是特定假设条件下的技术严重性。纳入 KEV 则增加了证据，表明利用已不再只是理论情境。

这一差异对于新披露漏洞尤为重要。漏洞利用预测评分系统数据和大范围遥测信息可能需要时间才能成熟。当防御者必须决定优先处置事项时，KEV 条目会提供更强的短期信号。

对于联邦民用机构而言，10 月 16 日的截止日期将这一信号转化为运营要求。团队必须识别受影响资产、应用供应商缓解措施、遵循相关取证分诊要求，或在无法获得充分缓解措施时停止使用。

私营组织并不承担该指令规定的法律义务，但它们面临相同的底层风险敞口。相同的 Windows 系统和远程访问网关同样存在于企业、医疗、教育和关键基础设施环境中。

这一期限也对围绕月度或季度维护窗口构建的补丁计划提出挑战。常规审批路径可能包括实验室验证、应用所有者审查、分阶段部署、回滚准备和业务签字确认。对于复杂环境而言，三天几乎不足以完成这些工作。

这并不意味着测试应被取消。更新失败可能扰乱生产环境，尤其是涉及身份系统的基础设施或远程访问设备。务实的做法是缩短决策链、隔离高风险资产，并首先测试最具代表性的配置。

资产清单成为首个压力点。如果团队没有操作系统版本、设备构建版本、互联网暴露情况、所有者及业务依赖关系的可靠记录，就无法满足紧急期限。

Windows 的暴露范围可能覆盖跨越多代产品的终端和服务器。公开 CVE 记录列出了 Windows 10、Windows 11 和 Windows Server 产品，包括 Server Core 安装。管理员需要在构建版本层面进行确认，而不能只依赖产品名称。

Ivanti 则带来不同的资产盘点问题。Connect Secure 设备通常部署在边缘，因为它们在远程用户与内部资源之间代理访问。其部署位置使其既易于被触达，也在遭入侵后具有很高价值。

边缘设备还持有攻击者所需的上下文信息。它可处理凭据、与目录服务通信、观察内部目标，并为侦察提供可信位置。这些功能会放大身份验证绕过被成功利用后的影响。

因此，必须采取的响应措施远不止部署更新。防御者必须迅速回答四个问题：产品是否存在、已安装版本是否受影响、在漏洞利用窗口期间是否暴露，以及现有证据是否显示已遭入侵？

仅回答前两个问题的团队，可能产生一种误导性的完成感。打补丁会关闭已知入口路径，但不会移除已被窃取的凭据、逆转横向移动，或重建被攻击者删除的日志。

本次 CISA KEV 目录更新迫使安全负责人将漏洞管理与事件响应连接起来。将这两项职能彼此割裂的组织，可能在工单于团队间流转时损失关键时间。

成熟的响应机制会指定一名负责人，协调补丁部署、暴露审查、遥测数据保全、威胁狩猎和管理层沟通。该负责人不必亲自完成每项任务，但必须有人维护完整的决策记录。

该记录应区分已确认事实与假设。CISA 确认两个漏洞均已被利用，但并未证明每个暴露实例都被锁定为目标，也未确认每一名攻击者，或说明攻击活动的完整规模。

这些空白很重要，因为紧迫性可能助长夸大表述。“正在被积极利用”并不等同于“大规模利用”，而纳入 KEV 也不能证明其被用于勒索软件。目录条目将已知勒索软件活动利用情况列为未知。

两个漏洞形成不同的攻击路径

Windows 漏洞扩大了补丁覆盖面，而 Ivanti 漏洞则将风险集中在高权限网络网关上。

CVE-2026-96951 的正式名称为 Windows Shell 安全功能绕过漏洞。CISA 将其描述为 Microsoft Windows 命令注入漏洞，反映了其底层 CWE-77 弱点。

已发布的攻击向量显示，该漏洞可被远程触达、攻击复杂度低、无需权限，但需要用户交互。这些特征表明，利用依赖于目标对攻击者提供的内容采取某种操作。

公开技术细节仍然有限。防御者不应仅根据漏洞类别推断确切投递机制。官方记录确认了受影响组件和影响，但并未为每种已观察到的攻击提供完整的公开操作手册。

网络检测文档提供了一条有用线索。Cisco 的 Snort 规则描述称，它会查找引用 Windows Terminal、且可能未正确标识其网页来源的 Windows 设置文件。该行为可能在用户交互后导致任意命令执行。

检测逻辑不能替代 Microsoft 的指导。网络特征可能漏掉加密流量、替代投递路径、修改后的载荷，或其检测点之外的活动。它应作为补丁验证和终端遥测的补充。

Windows 响应应从构建版本级别的资产盘点开始。管理员需要将每个已安装版本与 Microsoft 公告中的修复构建版本进行比较，然后确认更新已成功安装。

该流程还必须涵盖未遵循普通消费级更新渠道的系统。通过 Windows Server Update Services、Microsoft Intune、第三方工具、镜像或离线流程管理的服务器，可能呈现不同的部署节奏。

旧版 Windows 需要特别关注，因为运营依赖常常导致更新延迟。在主终端环境完成合规后，支撑旧应用的易受攻击服务器仍可能处于暴露状态。

在无法立即更新的情况下，防御方应采取 Microsoft 文档中列出的缓解措施并降低暴露面。他们还应监控可疑的子进程、异常命令执行，以及与攻击者投递的设置文件相关的痕迹。

CVE-2026-104935 带来了更直接的网络威胁。其 CVE 记录描述了 Ivanti Connect Secure 在 25.1.3.0 之前版本中存在的身份验证绕过漏洞，该漏洞可通过欺骗方式利用。

远程攻击者无需有效账户，也不需要用户交互。该漏洞允许在设备上执行任意命令，直接打通了互联网与内部网络信任软件之间的路径。

Ivanti 的受影响版本信息需要谨慎解读。记录列出了多个分支中的修复版本，包括 25.1.3.0、25.1.3.1 和 22.8R2.5。与厂商指南相关的公开报道还将 25.1.1.2 列为已修复构建版本。

管理员应根据当前的 Ivanti 安全公告确认其准确分支。在厂商说明可用时，不应依据二手摘要选择目标版本。

将该漏洞置于已观察到的攻击链中，其重要性会更加清晰。安全公司 Volexity 发现，某威胁行为者正利用针对 Connect Secure 的三项此前未知的弱点。

第一项弱点使未经身份验证的请求能够抵达受保护的 CGI 处理程序。CGI 处理程序是处理 Web 请求、且可能调用系统功能的服务器端软件。

第二项弱点创造了短暂的文件写入与执行机会。攻击者上传了一个伪装为 ZIP 扩展名的 Perl 脚本，随后与设备的验证和删除流程展开竞速。

另一项权限提升漏洞将该代码执行权限提升至 root。root 是设备底层 Linux 环境中的最高管理权限。

这一区分十分重要。CVE-2026-104935 跟踪的是攻击链中的身份验证绕过和远程代码执行部分。Volexity 表示，在其发布时，Ivanti 仍在为独立的权限提升漏洞准备修复方案。

因此，观察到的攻击链超出了单个孤立漏洞的影响。它结合了访问控制失效、临时文件执行和特权服务行为，从而完全控制了一台已完全打补丁的设备。

这正是本事件的核心权衡。组织必须迅速部署已知修复，但不能将该修复视为对攻击者能力的完整说明。

Ivanti 说明：打补丁并不等于取证结案

如果攻击者在更新前已开展活动并清除了本地证据，那么即使设备已打补丁，事件仍可能尚未解决。

Volexity 于 10 月 5 日开始调查可疑活动。该公司发现，对 Connect Secure 22.8R2.4 的利用可追溯至 10 月 3 日；该版本当时已完全打补丁。

其详细的漏洞利用链分析将相关活动归因于此前未被记录、被追踪为 UTA0576 的威胁行为者。该标签用于标识一组已观察到的行为，并不代表已确认的现实世界身份。

该威胁行为者利用设备进行侦察、凭据窃取、数据收集，并为可能的横向移动做准备。调查人员发现了针对目录凭据和机密信息的活动。

攻击者提取了存储在 VPN 设备上的凭据，其中包括用于 LDAP 的域凭据。LDAP，即轻量级目录访问协议，允许系统查询和管理目录信息。

调查人员还发现了获取本地管理员密码解决方案凭据和 BitLocker 恢复密钥的尝试。这些机密信息可能让攻击者访问原始设备之外的终端或加密系统。

该行为者搜索认证日志、收集设备配置数据并进行内部 DNS 侦察。其还使用了密码喷洒攻击，即用少量密码尝试登录大量账户。

这些活动说明，边缘设备遭入侵为何可能演变为企业级事件。该设备并非只是一台存在漏洞的单独设备；它提供了凭据、网络可见性和深入访问的起点。

Volexity 以高度置信度评估认为，攻击者的行动是在为横向移动和更广泛的网络入侵做准备。该行动在调查人员能够确定其最终目标前即被中断。

该行为者还使用了反取证技术。它修改了部分 Ivanti 调试日志和 Linux 审计日志，删除临时文件，并在获得 root 访问权限后恢复被更改的内存状态。

攻击者并不需要持久化 Web shell。它反复使用漏洞利用通道，通过 HTTPS 发送命令并接收结果，从而减少了在磁盘上留下传统后门的需求。

这一技术增加了检测难度。许多事件响应流程会从在磁盘镜像中搜索恶意软件、被修改的二进制文件、可疑启动项或 Web shell 开始。主要驻留于内存的攻击链可能留下更少的持久证据。

Ivanti 提供了一款完整性检查工具，用于查找磁盘上的意外更改。Volexity 发现，已观察到的攻击链会修改内存并恢复相关配置数据，从而能够避开该工具的检测。

这并不意味着完整性检查工具没有价值。它意味着，单凭干净的检查结果无法证明设备从未遭受该攻击链入侵。

拥有受影响且暴露于互联网的设备的组织，需要采用更严格的决策流程。在条件允许时，应在重新镜像前保全证据，检查网络遥测数据、审查认证活动，并寻找源自网关的横向移动迹象。

内存证据尤其有价值，因为攻击者的代码和修改可能仅在设备运行期间存在。重启或替换设备可能会销毁这些易失性证据。

运营紧迫性可能与证据保全发生冲突。安全团队可能希望立即断开连接并重建，而事件响应人员则需要内存、日志及周边遥测数据。

正确的平衡取决于当前风险。如果怀疑入侵仍在持续，应优先遏制。团队仍应记录系统状态，并在不无谓延长攻击者访问时间的前提下收集最佳可用证据。

凭据响应同样重要。如果受影响网关存储或处理过目录凭据，管理员应识别这些账户并轮换相关机密信息。他们不应认为补丁能够保护已经被收集的凭据。

BitLocker 恢复数据、本地管理员密码、服务账户凭据和 VPN 配置机密都应单独审查。轮换优先级应反映设备可访问哪些机密信息，以及遥测数据揭示了什么。

风险还延伸至受信任连接。被攻陷的网关可能使恶意内部流量看起来像是来自合法基础设施。检测团队应审查源自该设备的活动，而不只是审查指向该设备的入站请求。

Volexity 建议监控涉及公共 welcome CGI 路径的异常大量请求。它还强调，应关注可见 URL 与 X-DSCGI-PATH 请求头之间的不匹配。

这些指标有用但并不完整。一旦技术细节公开，攻击者往往会调整路径、请求模式、基础设施或后渗透工具。防御方应将具体指标与行为分析结合起来。

审慎来看，公开调查记录了一名受害者和一个已观察到的集群。它为攻击机制提供了有力证据，但没有揭示该活动的完整规模。

Ivanti 表示，在披露时其已知有少量客户受到利用影响。该声明应被视为厂商当前可见范围，而非对受损系统数量的确定上限。

当日志不完整或攻击者清除证据时，未知暴露尤其值得关注。没有警报并不能证明没有发生利用。

公开记录仍未揭示的内容

两项 KEV 条目确认漏洞已被利用，但攻击者归属、规模、投递方式和完整受害影响仍未明确。

CISA 尚未公开确认利用 CVE-2026-96951 的攻击者身份。现有的 Windows 记录也未完整描述已观察到的攻击活动。

Microsoft 所列攻击向量表明需要用户交互，这使该 Windows 漏洞区别于无需身份验证的 Ivanti 网关攻击。然而，防御方仍缺乏关于诱饵、投递渠道和后渗透流程的完整公开说明。

这一缺口限制了针对特定攻击活动的检测。安全团队可以部署更新并监控相关 Windows 行为，但应避免将某一种推测的投递机制表述为已获确认。

Ivanti 案例提供了更多技术可见性，因为 Volexity 从内存、磁盘证据和核心转储中重建了攻击链。即便如此，仍有重要问题尚待解答。

Volexity 基于已观察到的目标，以低置信度评估 UTA0576 具有犯罪动机。低置信度归因意味着现有证据仅能较弱地支持该评估。

该公司还以中等置信度评估认为，该行为者在漏洞利用开发或后渗透期间使用了大语言模型。其判断依据包括定制脚本、硬编码凭据、反复使用命令通道以及该攻击链的复杂性。

这一评估并非使用 AI 的直接证据。类似的操作模式也可能源于人工开发、成熟的私有工具或迭代式手工操作。在没有更多证据的情况下，该说法不应成为事件报道的标题。

另一项不确定性涉及权限提升组件。Ivanti 修复了由 CVE-2026-104935 跟踪的身份验证绕过和远程代码执行路径。Volexity 表示，额外的权限提升修复将在之后推出。

剩余漏洞并不意味着已修复的身份验证绕过仍可被利用。但这意味着防御方应继续关注后续厂商版本，而不应将 10 月 13 日的更新视为最终的安全事件。

版本状态同样需要精确理解。CVE 记录称，22.7R2.14 及更早版本不包含 CVE-2026-104935。较旧分支仍可能包含无关漏洞、缺乏当前支持，或不在建议部署路径之内。

组织不应将降级到较旧的“未受影响”版本作为临时缓解措施。应遵循受支持的升级说明，并确认厂商的最新立场。

勒索软件领域也可能造成混淆。CISA 将两项条目的已知勒索软件活动使用情况都列为未知。该值意味着目录尚未确认与勒索软件有关联，并不意味着勒索软件运营者会忽视这些漏洞。

在补丁可用后，攻击者经常会复用已公开披露的边缘设备漏洞。公开技术分析可以同时加速防御工作和攻击复现。

概念验证代码的可用性同样并不是完整衡量标准。即使常见代码仓库中没有出现可靠的公开利用代码，CISA 所掌握的在野利用证据已经证明了现实风险。

在面向高管的沟通中，团队应区分四个证据层级：漏洞确实存在、利用已经发生、一条 Ivanti 攻击链已有技术文档记录，而更广泛的攻击活动范围仍不确定。

这种表述既体现紧迫性，又避免耸人听闻。它还能防止领导者误以为每个受影响的系统都已遭入侵；反过来，也不会因为公开披露的受害者数量有限，就认定风险敞口是安全的。

CISA KEV 目录更新最有价值之处，在于它是一个决策信号。它告诉防御者，已验证的利用活动已超越理论风险。它不能替代针对具体资产的调查。

防御者接下来应关注的三个信号

下一阶段取决于补丁覆盖率、取证发现，以及厂商针对 Ivanti 漏洞链其余部分发布的更新。

第一个信号是，截至 10 月 16 日期限前完成经验证的修复。联邦机构必须证明，受影响资产已按照 BOD 26-04 的要求完成处置。

即使私营组织面临不同的运营限制，也应将这一日期作为紧迫性的基准。关键指标并非创建了多少更新工单，而是受影响且可访问的系统中，已完成修补、缓解、隔离或移除的比例。

快速的补丁部署率将缩短攻击者复用这些路径的时间窗口。若在公开披露后仍持续暴露，则更能说明 KEV 截止期限在真实环境中依然难以执行。

第二个信号是出现更多取证发现。调查人员可能识别出更多 Ivanti 受害者、新的指标、替代请求路径，或涉及被盗凭据的后续活动。

更广泛攻击目标的证据，将强化这样一种判断：受影响设备需要按事件响应方式处置，而不仅仅是完成漏洞修复。即使没有新增公开案例，也不能证明不存在更多入侵，尤其是在遥测能力薄弱的环境中。

Windows 攻击活动的细节也属于这一信号。新的报道可能会澄清攻击者如何投递恶意内容、瞄准哪些行业，以及绕过安全机制后会执行哪些命令。

组织应随这些细节浮现而更新检测规则。它们还应保留足够的端点和网络遥测数据，以便在新指标出现时进行回溯检索。

第三个信号是 Ivanti 针对另一项权限提升漏洞发布的后续版本。这项更新将表明，厂商何时认为已在所有受支持分支中修复整条公开记录的攻击链。

管理员应持续跟踪公告，而不应认为部署首个已修复版本后工作便已结束。每个新版本都应触发版本审查、测试、部署规划，以及确认旧设备仍处于受支持路径上的工作。

这三个信号也提供了实用的行动顺序：首先确认当前风险敞口；其次调查易受攻击期间的活动；第三持续监控厂商指引。

对于 Windows，应在端点和服务器上核实已部署修正后的版本，然后审查可疑的 Shell 和 Terminal 相关执行活动。在常规保留期限清除相关数据前，保存必要的端点遥测信息。

对于 Ivanti，应确认设备所处的准确分支，应用受支持的更新，并审查已知被利用时间窗口内的互联网暴露情况。调查来自网关的异常活动；如无法排除入侵，应轮换可访问的凭据。

不要仅凭一次干净的完整性检查就结案。已有记录的攻击会修改内存、删除日志并恢复状态，目的正是减少可见痕迹。

CISA KEV 目录更新传递的信息很明确，却影响深远：漏洞利用已经从可能性变成了被观察到的事实。剩下的问题是，每个组织能否证明其自身系统在攻击者触及之前就已完成修复。

安全团队现在应记录这一答案：哪些受影响资产曾暴露在外、保留了哪些证据、哪些凭据可被访问，以及谁有权结案？完成补丁部署只是一个里程碑。可辩护的保障需要留存记录，证明风险暴露、漏洞利用和后续访问均已接受审查。