Ivanti VPN又上通缉名单 边缘设备自查先问三句

又一家主流 VPN 网关产品进了「通缉名单」。

10 月 13 日，美国 CISA 更新其已知被利用漏洞目录（KEV），新增两条，其中一条指向 Ivanti Connect Secure——一款在国内政企和大型企业分支里用得不少的 SSL VPN 网关。按目录规则，相关单位被要求在 10 月 16 日前完成处置，也就是只有 4 天窗口。

这里不展开漏洞本身的技术细节——对普通企业来说，知道「这个家族的设备又出事了、正在被真实攻击利用」就足够构成行动理由了。

边缘设备为什么总先中招

把近几年 KEV 名单翻一遍会发现一个规律：Ivanti（Connect Secure、EPMM 等）、Fortinet、Palo Alto、Citrix 这类边缘 VPN 和网关产品，是名单上的高频常客。原因不复杂，三重属性叠在一起：

1. 直接暴露在公网——VPN 网关的本职就是让外部访问进来，攻击面天然朝外；
2. 手里握着内网凭证——一旦设备被攻破，攻击者拿到的不是「门口的位置」，而是「进了门的工牌」；
3. 补丁窗口常被拖延——打 VPN 网关补丁要安排断线窗口，很多单位一拖再拖。

三条叠加，攻击者自然优先盯这类设备。而国内不少企业的现状是：设备型号和固件版本长期没人盘点，出了公告也不知道自己「在不在名单上」。

边缘设备自查三问

不用懂技术细节，IT 负责人把这三句话问下去就能摸个底：

1. 公网暴露面清不清楚？ 全公司有多少台设备直接挂在公网上提供远程接入，能不能一分钟列出来？
2. 固件版本对不对得上？ 每台网关的型号和固件版本有没有台账，厂商发公告时能不能快速对表？
3. 远程入口有没有二次防护？ VPN 之外有没有多因素认证、访问审计这类兜底措施？

三问里有两问答不上来，就说明边缘设备的家底该盘了。

对贵州企业意味着什么

贵州不少企业的异地办公、分支互联靠的就是一台老旧 VPN 网关，几年没升过级。这次事件不一定要立刻换设备，但至少要做两件事：把版本台账建起来，把厂商的安全公告渠道加上。另外顺带说一句，如果现有的远程入口确实老旧难维护，用自建加密通道的方案替代也是一条路，成本未必比续命老设备高。

边缘设备台账和远程接入方案，贵州诚鑫致达都可以帮企业评估，有需要欢迎聊聊。

信息来源：CISA 已知被利用漏洞目录（KEV，2026.10.13 版，2026-10-14 核对）

想获得贴合自身场景的数据管理建议？联系我们，或浏览技术博客获取更多实战经验。

企业存储选型参考｜贵州诚鑫致达

做备份容灾一体机方案，群晖机型参考：DP7400 · DP520 · DP320。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。