مايكروسوفت خلصت تحديث أمان خيالي - إصلاحت تقريباً ألف ثغرة في يوم واحد. لكن الموضوع المخيف مش العدد نفسه، ولا كنت الثغرتين اللي المهاجمين كانوا يستغلوهم فعلياً ما كانوا حتى مصنفين كأخطر تهديدات.
إيه اللي ده معناه لنشاطك التجاري الصغير، وليه المشكلة الحقيقية مش الثغرات اللي لازم تسدها - لكن اللي مش قادر تلاقيها أصلاً.
دعني أبدأ برقم: 974.
هذا عدد الثغرات الأمنية التي أصلحتها مايكروسوفت في يوم واحد فقط خلال سبتمبر. أكثر من مئة منها كانت مصنفة كـ"حرجة". والشركة الآن أصلحت أكثر من 2700 ثغرة خلال 2026 — ومع ذلك لا يزال أمامنا ثلاثة أشهر كاملة في السنة.
لكن ما يبقيني مستيقظاً ليلاً ليس هذا الرقم. ما يقلقني فعلاً أن اثنين من تلك الثغرات كان المهاجمون يستغلونها فعلياً قبل أن توجد التحديثات أصلاً. والأغرب من ذلك؟ لم تكن أي منهما مصنفة "حرجة". كلاهما كان مجرد "مهم".
واحدة كانت مختبئة في Windows Update Stack. والأخرى في Advanced Local Procedure Call. كلتاهما تسمح لمهاجم تمكن من الوصول إلى جهازك أن يحول نفسه إلى مدير بأقصى صلاحيات.
لو كنت تعتمد على تصنيف مايكروسوفت لتحديد أولوياتك، لربما أجلت العمل على هذين الملفين.
المشكلة ليست في قدرتك على استيعاب ألف تحديث شهرياً. معظم الشركات الصغيرة لا تستطيع — فلنكن صريحين.
المشكلة الحقيقية أبسط وأصعب: هل تعرف حتى ما تملكه؟
حقيقة صدمتني عندما قرأت عنها لأول مرة: البرمجيات لم تصبح أسوأ. هذه الأخطاء لم تظهر فجأة لأن المطورين أهملوا. كثير منها كان جالساً في الأكواد لسنوات — بعضها لعقود.
ما الذي تغير؟ الذكاء الاصطناعي.
مايكروسوفت وجوجل وأدوبي وسيisco وموزيلا وأوراكل — كلها تستخدم أدوات الذكاء الاصطناعي لفحص ملايين الأسطر من الأكواد بحثاً عن نقاط الضعف. وهي تجدها بمعدل لم يكن ممكناً مع الباحثين البشريين.
أدوات جوجل وحدها أصلحت أكثر من ألف ثغرة أمنية في إصدارين من Chrome — أكثر من العامين السابقين مجتمعين.
داستن تشايلدز من Zero Day Initiative يسمي هذا "الوضع الطبيعي الجديد"، وبصراحة، أعتقد أنه محق. لا تتوقع أن تنخفض هذه الأرقام إلى ما اعتدنا عليه قبل سنوات.
هل هذه أخبار سيئة؟ غالباً لا. المزيد من الثغرات التي يعثر عليها ويصلحها "الطرف الجيد" هو انتصار. الطوفان من التحديثات لم يقابله طوفان من الهجمات — ليس حتى الآن. لكن المشكلة أن الثغرة حين تُستخدم فعلياً، أصبحت المدة بين الإعلان عنها واستغلالها تتقلص باستمرار. كانت هذه المدة تعطيك وقتاً للتحديث. الآن بالكاد تعطيك وقتاً لتفرغ قهوتك.
تخيل المشهد. إنه "يوم التحديثات" (أو أي يوم تختار مايكروسوفت فيه إلقاء حزمتها الشهرية). تفتح لوحة التحكم وتشاهد 50 تحديثاً بانتظاراك. ربما 100. ربما أكثر. ما خطتك؟
إذا كنت كمعظم الشركات الصغيرة، ربما تبدأ بالحرجة، ثم تنزل للأسفل، وتأمل في الأفضل. ربما تضبط التحديث التلقائي وتعتبر الموضوع منتهياً.
المشكلة في هذا الأسلوب: "حرج" لا يعني "سيؤذيك حتماً" و"مهم" لا يعني "لا يهم".
ثغرة DNS في Windows Server كارثية إذا كنت تشغّل Windows Server. لا تعني شيئاً إذا لم تكن كذلك. لكن إذا لم تكن تعرف إن كنت تشغّل Windows Servers أصلاً — وبصراحة، كم من أصحاب الشركات الصغيرة يستطيع الإجابة بدون تفحّص — فأنت تلعب لعبة أمن المعلومات مكبّرة اليدين فعلاً.
معظم الشركات الصغيرة التي أتحدث إليها لا تملك جرداً موثوقاً لما تملكه فعلياً. كم حاسوب محمول موجود حالياً؟ أيها لا يزال يتلقى تحديثات وأيها يعمل بنظام لم يعد مدعوماً منذ 2017؟ ما برنامج الخادم الذي يعمل، ومتى كان آخر مرة لمسناه؟ هل هناك هواتف قديمة عائمة بحق الوصول إلى بريد الشركة؟
حين كانت أحجام التحديثات معقولة، كان التغطية "العائمة" مقبولة. كنت تعيش بالتخمين لأن الأرقام كانت صغيرة بما يكفي — أن تكون محدّثاً بشكل عام كان كافياً تقريباً.
لكن مع ألف إصلاح شهرياً، يتوقف التخمين عن العمل. لا يمكنك فرز كومة قش لم تقسها أبداً.
إليك الحل غير المثير لكل هذه الفوضى: ضع قائمة.
أعرف، أعرف. هذا ليس بالضبط ما تتخيله كبطل خارق في الأمن السيبراني. لكن اسمعني.
جرد الأصول يبدو مملاً حتى تدرك ما الذي يفعله لك. يحول رقماً لا يمكن إدارته — 974 تحديث هذا الشهر! — إلى رقم صغير: ثلاثة تحديثات تنطبق على إعدادك الفعلي. يجعل كل قرار أمني آخر أرخص لأنك لم تعد تخمن.
لا تحتاج أداة متطورة لذلك. ابدأ ببساطة. ما الأجهزة المتصلة بشبكتك؟ ما البرامج المثبتة عليها؟ ما الذي يُستخدم فعلاً مقابل ما تم تثبيته ونُسي؟ حين أقول "بسيط"، أعنيه. جدول بسيط يكفي. جولة موثقة في مكتبك تكفي. ما يهم هو أن تفعله فعلياً، وأن تحدّثه حين يتغير شيء.
الشركات التي ستتعامل مع هذا الواقع الجديد بشكل جيد ليست الأسرع في التحديث. بل هي القادرة على الإجابة عن سؤال أساسي: ما الذي نشغّله، وأين يقع؟
شيء أرجّح أنك لم تفكر فيه: مساعدوك بالذكاء الاصطناعي هم برامج. والبرامج تحتوي على عيوب. والعيوب يمكن استغلالها.
فكّر في ما يمكن أن تصل إليه بعض هذه الأدوات. مساعد ذكاء اصطناعي يصل إلى صندوق بريدك وملفاتك وقاعدة بيانات عملائك — هذا ملف خطر مختلف تماماً عن برنامج جداول. هذه الأدوات يمكنها قراءة رسائلك وصياغة ردود بالنيابة عنك، وأخذ إجراءات بناءً على ما تجده.
الشركات الصغيرة تبنّت أدوات الذكاء الاصطناعي بشكل شبه عضوي. شخص ثبّت إضافة متصفح مفيدة. شخص ربط مدوّن اجتماعات بتقويم الشركة. شخص أعطى مساعداً صلاحية الوصول إلى القرص المشترك لتوفير ظهيرة عمل.
كل واحد من تلك القرارات كان منطقياً تماماً في وقته.
ما تأخر هو تسجيل حدوثها. اسأل معظم أصحاب الشركات عن أدوات الذكاء الاصطناعي المستخدمة في شركتهم وما البيانات التي تصل إليها تلك الأدوات — وستحصل على وقفة تأملية صامتة.
هذا هو ذكاء الذكاء الاصطناعي الخفي، وهو فجوة رؤية باسمك عليها.
الحل ليس أن تصاب بالذعر وتحظر أدوات الذكاء الاصطناعي — بعضها مفيد فعلاً، ومنافسوك يستخدمونها على الأرجح. الحل هو إضافتها إلى جدولك البسيط ذلك. أي أدوات متصلة بأي؟ ماذا تستطيع أن ترى؟
دعني أجمع هذا كله بشيء عملي.
طوفان التحديثات لن يتوقف. اكتشاف الثغرات بمساعدة الذكاء الاصطناعي أصبح واقعاً وسيبقى — وهذا غالباً خبر جيد. المزيد من الثقوب يُسدّ أكثر من أي وقت مضى. لكنه يغيّر قواعد اللعبة بالنسبة لكيفية تعامل الشركات الصغيرة مع الأمن.
لا يمكنك أن تتعامل مع هذا بالحجم. لا يمكنك قراءة كل نشرة أمنية واتخاذ قرارات مدروسة بشأنها كلها. لا توجد ساعات كافية في اليوم، وبصراحة، معظمنا ليس باحثين أمنيين.
ما يمكنك فعله هو أن تصبح جاداً في معرفة ما تملكه. ابنِ جرد الأصول. لا يحتاج أن يكون متطوراً. يحتاج فقط أن يكون موجوداً.
حين تعرف ما تشغّله، يتحول ذلك الطوفان من التحديثات إلى جدول أقل بكثير يمكنك إدارته. يمكنك تجاهل الثغرات التي لا تنطبق عليك والتركيز فعلياً على التي تنطبق.
لا يمكنك تحديث ما لا تراه. هذا أقدم نصيحة في الأمن السيبراني، وأصبح الآن أكثر أهمية من أي وقت مضى.
الكومات تكبر. هذا يعني أن المخاطر المرتبطة بمعرفة مكان إبرك لم تكن أعلى مما هي عليه الآن.
الكلمات الدالة: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']