边缘设备成为共同入口，补丁窗口缩至三天

同一周，两类攻击者，同一层

9月27日至30日的4天里，美国网络安全和基础设施安全局（CISA）向已证实遭攻击利用的漏洞目录（KEV）新增4条记录，其中3条属于网络边缘产品。边缘设备是指把机构网络连接到互联网的网关、VPN、路由器和SD-WAN等设备。

Citrix于9月27日公布了2个评分9.5的NetScaler漏洞。据Help Net Security报道，这些漏洞在公布前数周就已遭利用。攻击者植入网页后门并清除了痕迹；该来源将这一行动定性为可能具有国家背景的间谍活动。9月30日，思科又出现评分9.8的SD-WAN Manager漏洞。据Rapid7统计，这是该产品2026年的第5个零日漏洞。

勒索一侧在同一周也不平静。9月30日，一项由欧洲刑警组织支持的行动关闭了KillSec团伙的5台服务器。该团伙自2024年以来发动约1,000次攻击，其中500次得手。KillSec在这1,000次攻击中使用了何种入侵途径，目前没有公开。不过在CISA数据中，2026年进入目录的56条边缘产品记录里，有6条被标注为曾用于勒索活动。

补丁窗口缩至三天

Talay根据KEV目录测算，2025年进入目录的245个漏洞，联邦补丁期限中位数为21天。截至2026年10月1日，当年进入目录的247个漏洞中位期限缩至3天。期限在3天及以内的记录有124条，而2025年只有7条。

速度加快的同时，数量也在增长。2026年9月，目录新增43个漏洞，约为2025年9月16个的2.7倍，也是全年最高的月份。43条记录中有18条来自思科、Citrix、Fortinet、SonicWall、Check Point、F5、MikroTik、Zyxel和Arista的产品。思科SD-WAN漏洞的截止日为10月3日。该漏洞只需一个HTTP请求即可获得管理员权限，因此3天并不算短，而是必要。

问题在于，3天窗口只约束美国联邦机构。私营企业和其他国家的公共机构可能在同样的3天内面对同一漏洞，却没有遵守这一期限的义务。Citrix一案中，利用在公布前数周就已开始。换言之，窗口开启时，部分网络里已经潜伏着攻击者。

地缘政治扩大了攻击面

据Cisco Talos披露，中国关联组织UAT-11587在2025年9月至2026年7月间，向8个国家约350台设备植入了Antino后门。目标包括台湾、印度、菲律宾和巴基斯坦的国防、外交部门及智库。据The Record报道，该活动于2026年3月通过定向电子邮件被发现。后门每10秒经由Microsoft 365接收一次指令。

身份层也在名单之上。据Proofpoint披露，亲华组织TA419自7月8日起冒充一名前白宫科技政策官员，向人工智能政策专家发送虚假的顾问委员会邀请。据The Register报道，该组织在2026年2月还冒充过一名Anthropic高管。其2份虚假邀约之一，是一份关于人工智能出口管制的虚构参议院报告。随着这一领域变成谈判筹码，相关专家也成了攻击目标。

能源危机与战争在海湾地区产生了同样的效应。The National援引的CloudSEK报告显示，该地区勒索记录从2025年4月的17起增至2026年6月的357起。阿联酋的每日攻击尝试从战前的200,000次升至约800,000次。

成本账尚未跟上

9月26日京王遭受的勒索攻击没有让列车停运，但中断了超市、酒店和巴士售票处的刷卡支付。Times Car有660万个账户的驾照和身份信息遭泄露。在土耳其，个人数据保护局（KVKK）9月30日公布了9起泄露事件。在公布人数的记录中，至少1,033,853人受到影响；Papara Menkul的泄露始于针对Okta的钓鱼攻击。

保险价格却朝相反方向走。Marsh指数显示，全球网络保险价格在2026年第二季度下降4%，已连续12个季度下降。印度、中东和非洲地区的降幅为14%。Marsh将下降归因于充足的承保能力、较低的再保险成本和强劲的盈利；9月的43个已遭利用漏洞尚未体现在这一定价中。

金融市场同样平静。Cboe数据显示，波动率指数VIX在10月1日为16.39。这种平静表明，网络风险仍停留在个别企业和保险公司的资产负债表上，尚未传导为系统性风险溢价。

关注要点

未来3个月有3项指标值得关注。第一，每月进入KEV的边缘产品数量能否保持在9月的18个以上。第二，Marsh第三季度指数中网络保险价格的跌势是否延续至第13个季度。第三，KVKK自9月30日公布9起泄露以来的通报中，金融业所占比重。

3天的补丁节奏与连续12个季度下降的保险价格之间的落差，不会长期存在。落差收窄时，成本会先反映在保费和免赔额上，然后体现在监管机构的补丁与通报时间表中。