《三起 VPN 事件之后，给自己做的三项自查：打补丁、Kill Switch、无日志》

10 月里接连出了三起和 VPN 有关的通告：Ivanti 网关的身份验证绕过漏洞、Palo Alto 网关的未授权会话、FBI 与美国特勤局警告的 FortiBleed 凭证收割行动。它们都发生在企业侧，但落到个人用户身上，教训很集中：VPN 的信任链有三个环节——软件版本、会话状态、凭证与记录。每一环都有你能动手核对的东西。

下面每项都写清：查什么、查到什么算通过、查不到怎么办。

核对一：打补丁——你的 VPN 是不是最新版

事件： 10 月 13 日，Ivanti 披露 Connect Secure 的身份验证绕过漏洞（CVE-2026-104935）。攻击者无需任何凭证，就能在网关设备上执行任意命令，而且该漏洞在披露前已在野外被利用，美国 CISA 当天把它列入了已知被利用漏洞目录。

为什么和你有关： Ivanti 是企业网关设备，你大概没在用它。但教训是通用的：VPN 软件的补丁窗口期就是攻击窗口期。漏洞披露后，攻击者会抢在用户更新之前动手；你的 VPN 客户端同样适用这条规律。

查什么：

1. 打开你的 VPN 客户端 → 设置 → 关于，记下当前版本号。
2. 去服务商官网或官方应用商店，对照最新版本号。
3. 确认自动更新已经开启。如果你是在路由器上跑 VPN 客户端，也去路由器管理界面看一眼固件版本。

通过标准： 客户端版本号不低于官网最新版；应用商店没有待更新提示；自动更新已开启。

查不到怎么办： 如果找不到版本号，或者官网根本没写最新版是多少，不要猜。直接从官网或官方应用商店卸载重装最新版。不要用第三方修改版、破解版客户端——你不知道它改了什么。

核对二：Kill Switch——断线那一秒，流量是不是真的停了

事件： Palo Alto PAN-OS GlobalProtect 的身份验证绕过漏洞（CVE-2026-0257）。在开启了 Authentication Override Cookie 的特定配置下，攻击者可以伪造会话进入内网。10 月上旬，安全公司 ReliaQuest 警告，Qilin、Settra 等勒索团伙仍在利用这个漏洞建立未授权 VPN 会话。还有一个关键细节：打补丁不会自动终止已经建立的会话，补完之后还要手动终止旧会话并排查。

先说清楚： Kill Switch 挡不住这起攻击——那是网关一侧的身份验证绕过，不是你设备上的问题。但它暴露了一个个人用户必须正视的现实：VPN 会话"看起来连着"，不等于"流量真的在隧道里"。攻击者的会话看起来和正常用户一模一样。你能控制的，是自己这一端的底线：隧道一断，流量立刻停。

查什么（实测，不是看开关）：

1. 确认客户端里 Kill Switch 的开关处于"开"——不是"有这个功能"，而是真的开了。
2. 连接 VPN，打开一个网页，确认能正常访问。
3. 手动断开 VPN（或者开关一次飞行模式），立刻尝试刷新网页、发消息。
4. 观察：断开的瞬间应该完全断网，直到 VPN 重连成功才恢复。
5. 更新完 VPN 客户端后，重启客户端、重新连接一次，不要让旧会话继续跑——这是 Palo Alto 事件给的教训：补丁不会自动终止旧会话。

通过标准： 断开瞬间没有任何流量外泄；重连之前网络保持切断；重连成功后自动恢复。

查不到怎么办： 如果客户端根本没有 Kill Switch 开关，换客户端或换服务商。如果测试发现断开后仍然能上网，立即停用该客户端，改用官方提供的带 Kill Switch 的版本；同时把 DNS 泄露防护也打开（如果提供的话）。

核对三：无日志——服务商手里关于你的东西，越少越好

事件： 10 月 6 日，FBI 与美国特勤局发布联合通告（JCSA-20261006-01），警告 FortiBleed 凭证收割行动。这次行动没有利用某个软件漏洞，而是用泄露或复用的密码、密码喷洒和离线破解旧版 SHA-256 哈希，拿到了 86,644 台 FortiGate 设备的有效管理员凭证，还在设备上新建了流氓管理员账号，把部分原管理员锁在了自己设备之外。

先说清楚： 这起事件本身不是服务商日志泄露。但它证明了一点：只要认证数据（密码、哈希、会话记录）被存下来、被重复使用，就可能被批量偷走。无日志的意义正在于此：服务商手里关于你的数据越少，能被偷走、能被要求交出的就越少。

查什么：

1. 打开服务商隐私政策的正文，找无日志条款。广告页上的口号不算，要写进隐私条款才算。
2. 找独立第三方审计报告：审计机构名称 + 报告日期，能查证才算数。
3. 查服务商的注册地与司法管辖区，看它会不会被强制要求保留数据。
4. 查你自己的 VPN 账号：密码是不是唯一的（没在别处用过）、有没有开双重验证。

通过标准： 隐私政策正文有明确的无日志承诺；有可查证的第三方审计；司法管辖区没有强制留存要求；账号密码唯一且已开双重验证。

查不到怎么办： 找不到审计报告、条款含糊，就视为"未证实"，优先换一家能拿出证据的服务商。密码在别处也用过，立即改成唯一强密码并开启双重验证。如果服务商提供登录记录查看，去看有没有不认识的设备或异地登录。

三分钟自查表

结语

三起事件发生在企业侧，但落到个人身上就是三句话：软件保持最新，断线立刻断网，数据能少留就少留。VPN 是隐私工具，不是万能护身符——强密码、双重验证和良好的上网习惯，同样不可或缺。

来源： Rapid7：Ivanti Connect Secure 零日漏洞（CVE-2026-104935）、SecurityWeek：Ivanti 零日漏洞链、The Arabian Post：Qilin 与 Settra 利用 Palo Alto VPN 漏洞、The CyberSec Guru：CVE-2026-0257、SafeBreach：FortiBleed 联合通告 JCSA-20261006-01、The Cyber Express：FortiBleed 行动