这一期覆盖 10 月 4 日到 10 月 13 日。美国 CISA 的已知被利用漏洞目录（KEV）在这段时间新增 7 条，其中和学校常见设备、软件相关的有 3 条，列在下面。
**进入这个目录的前提是：已经在真实攻击中被利用，并且厂商已经给出了修复办法。**所以这里列出的不是“可能有风险”，而是“已经有人在打，补丁也有了”。本站只写问题和影响，不写利用方法。
1. Ivanti Connect Secure
CVE-2026-104935 · 收录于 2026-10-13 · CISA 要求美国联邦机构在 2026-10-16 前修复
Ivanti Connect Secure 存在认证绕过漏洞，远程未授权攻击者可借此执行任意命令，VPN 入口一旦失守，校园网边界将直接暴露给外部攻击者。
2. Microsoft Windows
CVE-2026-96951 · 收录于 2026-10-13 · CISA 要求美国联邦机构在 2026-10-16 前修复
Microsoft Windows Shell 存在命令注入漏洞，未授权攻击者可通过网络绕过安全功能，正常终端一旦被突破，可能作为进一步渗透内网的跳板。
3. Apache Struts
CVE-2016-3081 · 收录于 2026-10-08 · CISA 要求美国联邦机构在 2026-10-11 前修复
Apache Struts 在启用动态方法调用时存在命令注入漏洞，远程攻击者可借此执行任意代码，托管在校园服务器上的老旧信息门户若仍运行该版本，将面临数据泄露与站点失陷风险。
怎么处置
按厂商公告升级到修复版本。暂时升不了的，先把对应服务从公网收回内网或加访问控制，再排期升级。校园网里最该先看的是直接暴露在公网上的那几台：出口防火墙、VPN 网关、邮件网关、对外的 Web 服务。
本期提醒
本期三条漏洞集中在校园网络中常用的接入与基础服务组件，覆盖 VPN 认证、Windows 系统组件以及 Web 应用框架。运维排查时建议优先清点 Ivanti Connect Secure 等远程接入设备的版本和补丁状态，再核查内网终端和应用系统，及时收敛暴露面。
数据来源：CISA 已知被利用漏洞目录（KEV），该数据以 CC0 1.0 发布。中文说明为本站整理，不构成安全建议；请以厂商公告为准，打补丁前先在测试环境验证，并做好回滚准备。
转载请注明来源
评论