一句话先说清：三个漏洞连成一条链，单看都不算最严重
美国 CISA 在 2026 年 10 月 30 日把 Ivanti Connect Secure 的两个漏洞收进 KEV（已知被利用漏洞目录），均已确认在野利用。它们与 10 月 13 日已进 KEV 的一个认证绕过漏洞连起来，就是一条完整的攻击链：绕过身份验证 → 上传攻击者控制的文件 → 提权到 root。本文只讲防御：影响范围、修复版本与自查步骤，不涉及任何利用细节。
链上的三个漏洞
CVE-2026-104935（CVSS 8.6，10 月 13 日已进 KEV）：身份验证绕过，可远程执行命令，是整条链的入口。CVE-2026-118527（CVSS 4.3）：可预测的标识符与文件名，已认证的远程攻击者可把攻击者控制的文件上传到磁盘已知位置。CVE-2026-111357（CVSS 8.8）：关键功能缺少身份验证，本地已认证攻击者可提权。三者连起来，就是未经身份验证拿到 root。
为什么这条链值得重视：连已打补丁的设备都没躲过
发现这条链的 Volexity 报告，攻击者 UTA0576 从 2026 年 10 月 3 日就开始利用，包括一台当时已完全打好补丁的 22.8R2.4 设备。攻击目标以窃取凭据和活动目录 secrets 为主，而不是常见的挂 webshell 牟利。也就是说，单看“是否打了 10 月 13 日那批补丁”是不够的。
修复版本：10 月 13 日那批只修了链首
Ivanti 在 10 月 29 日发布了后两个漏洞的修复：25.1 分支升 25.1.1.3，22.8 分支升 22.8R2.6；25.1.3.1 在它自己的分支上同样覆盖链首漏洞。这里有个容易踩的坑：10 月 13 日那次补丁只修了链首，停在 25.1.1.2 或 22.8R2.5 的设备对后两个漏洞仍然暴露，必须升到 29 日这批才算补齐。
打补丁不等于设备干净
Ivanti 自带的完整性检查可能漏掉内存中的活动，所以暴露过的设备要做取证和完整性检查并轮换凭据，确认已被入侵的要按 Ivanti 的恢复流程重建。只升级、不检查，等于留了一个无法自证干净的缺口。
自查清单
- 先确认版本：25.1 分支是否在 25.1.1.3 或更新，22.8 分支是否在 22.8R2.6 或更新；停在 25.1.1.2 或 22.8R2.5 的等于没补齐。
- 再查暴露面：设备是否曾暴露在公网、是否在 10 月 3 日之后的利用窗口期内在线。
- 做完整性检查与取证，轮换相关凭据；确认失陷的按 Ivanti 恢复流程重建，不要只靠升级收尾。
- 托管用户注意：托管建站与云平台一般由平台统一修复，到平台公告里确认状态即可。
最后澄清一个常见误读：KEV 里 11 月 2 日与 11 月 13 日的期限只针对美国联邦机构，不是所有用户的统一期限；但“已被实际利用”这个定性本身，就是立即升级的理由。