节后第一周安全日历三批漏洞修复截止排进复工五天

今天（10 月 6 日）是节后复工第一天，企业 IT 面对的不是新漏洞，而是节前攒下的修复欠账进入密集兑现周。把美国网络安全与基础设施安全局（CISA）「已知被利用漏洞目录」（KEV）的修复时限排成日历，节后第一周几乎天天有节点：邮件网关 FortiMail 的 CVE-2026-104286 截止 10 月 4 日，已逾期两日；工单系统 Zammad 的 CVE-2026-102489 与 102490 截止 10 月 5 日，昨日刚到期；网关设备 Citrix NetScaler 的 CVE-2026-88779 截止 10 月 7 日，就是明天。再往后，微软 10 月安全更新日按惯例落在每月第二个周二，即 10 月 13 日接棒。值得一提的是，KEV 官方目录在 10 月 5 日至 6 日假期收官阶段没有新增条目——披露潮结束，安全工作的当期形态从「追新漏洞」切换为「清截止日欠账」，这正是收假第一周的真实工作面。

这批漏洞影响面横跨三类资产：网关设备做应用发布与统一认证的，工单系统对外接客的，邮件网关承担收发的。其中 FortiMail 一条情况特殊：官方补丁至今尚未发布，缓解措施仍是此前公告给出的两条——禁用基于身份的加密功能、限制管理接口的暴露面；也就是说「已逾期」不等于「无事可做」，缓解动作做到位同样是清欠账。本栏目假期已连发四篇设备提醒，从网关首查、双设备对照、邮件网关三件套到第四查收口，本文是系列收官：不再复述漏洞机理，只留一张可以贴在机房的日历。

对企业的启示有三点。一是把这张日历直接当收假自查单的第一栏：三条截止日期加一个补丁日，配「已修复打勾」的表格，逐台核对版本，节后回访客户、组织内部自查都是现成由头；二是「逾期两日」是最好的讲解素材——KEV 时限虽是美国联邦机构的要求，但对企业同样是最稳的修复排期参照，宁可按官方截止日提前完成，也不要用「假期没人攻击」做心理安慰；三是给 IT 例行工作排个节后节奏：第一周清 KEV 欠账，10 月 13 日等微软补丁统一测试，周五前再做一次全量资产版本盘点，三步连起来就是一个季度的安全基本功。贵州诚鑫致达科技承接网络设备与安全自查、补丁排期协助，节后需要逐台排查漏洞版本的单位可以联系了解。

信息来源：CISA 已知被利用漏洞目录官方记录（CVE-2026-104286 截止 10 月 4 日、CVE-2026-102489/102490 截止 10 月 5 日、CVE-2026-88779 截止 10 月 7 日，10 月 5-6 日无新增为官方目录直证）；微软 10 月安全更新日 10 月 13 日为每月第二个周二的日历事实；FortiMail 补丁未发布与缓解措施为厂商此前公告口径；核验时点 2026-10-06；联邦修复时限为美国机构要求，仅作排期参照不外推，受影响版本以厂商公告原文为准

想获得贴合自身场景的数据管理建议？联系我们，或浏览技术博客获取更多实战经验。

企业存储选型参考｜贵州诚鑫致达

做分支办公与入门升级，群晖机型参考：DS725+ · DS423+ · DS220+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。