Microsoft пусна рекордна по размер защитна актуализация — близо 1000 уязвимости в рамките на един ден. Най-страшното обаче не е бройката. А това, че две от дупките в сигурността, които хакерите вече използваха, изобщо не бяха отбелязани като критични.
Какво означава това за малкия ти бизнес и защо истинският проблем не са поправките, които трябва да инсталираш — а тези, за съществуването на които дори не подозираш.
Ще ти дам едно число: 974. Толкова уязвимости е закърпила Microsoft само за един ден миналия септември. Повече от 100 са били с най-висока критичност. Компанията вече е оправила над 2700 дупки в сигурността през 2026, а до края на годината остават още три месеца.
Но това, което наистина ме тормози, е друго: две от тези септемврийски уязвимости вече са били в обратна употреба от нападатели преди кръпките изобщо да съществуват. И нещото, което ги прави наистина странни — никоя от тях не е била обявена за "критична". Двете са били само "важни".
Едната се е криела в Windows Update Stack. Другата — в нещо наречено Advanced Local Procedure Call. И двете позволяват на нападател, вече влязъл в машината ти, да си осигури пълни администраторски права. Ако си разчитал на оценката на Microsoft за това кое да приоритизираш — най-вероятно си ги подценил и двете.
Каква е тогава поуката? Не е дали можеш да глътнеш хиляда кръпки на месец. Повечето малки фирми не могат — да сме реалисти. Истинският въпрос е много по-прост и много по-труден: Знаеш ли изобщо какво имаш?
Нещото, което ме изненада, когато за пръв път прочетох за тази тенденция. Софтуерът не е станал по-лош. Тези бъгове не са се появили изневиделица, защото програмистите са станали мързеливи. Много от тях са седели в кода с години — някои с десетилетия.
Какво се промени? Изкуственият интелект.
Microsoft, Google, Adobe, Cisco, Mozilla и Oracle — всички те пуснаха AI инструменти да пресяват милиони редове код за дупки в сигурността. И ги намират с темпове, по-бързи от всичко, което човешки изследователи биха могли да постигнат. Само AI системата на Google оправи над хиляда сигурностни бъгове в две версии на Chrome — повече от предходните две години взети заедно.
Дъстин Чайлдс от Zero Day Initiative нарича това "новата нормалност". И честно казано, мисля, че е прав. Не очаквай тези числа да паднат до онова, което смятахме за нормално преди няколко години.
Лоша новина ли е това? По принцип не. Повече открити и оправени дупки от добрите момчета е печалба. Потокът от кръпки не е последван от поток от атаки — поне засега. Но ето къде е уловката: когато нещо се превърне в оръжие, прозорецът между обявяването на уязвимостта и започването на експлоатацията става все по-тесен. Някога този прозорец ти даваше време да сложиш кръпката. Сега едва ти стига за една кафе-пауза.
Нека ти нарисувам картинката. Е Patch Tuesday (или който и да е ден, в който Microsoft реши да пусне месечния си пакет). Отваряш конзолата за управление и виждаш 50 ъпдейта чакащи. Може би 100. Може би повече. Каква е стратегията ти?
Ако си като повечето малки фирми, сигурно започваш с критичните, движиш се надолу по списъка и се надяваш на най-доброто. Може би си пуснал всичко на авто-ъпдейт и смяташ работата за приключена.
Ето проблема с този подход: критично не означава "задължително ще те удари", а важно не означава "не значи нищо".
Слабост в DNS-а на Windows Server е опустошителна, ако ползваш Windows Server. Не значи абсолютно нищо, ако не ползваш. Но ако не знаеш дали изобщо имаш Windows Servers — и нека сме честни, колко собственици на малки фирми могат да отговорят на това без да проверят — играеш security whack-a-mole със завързани очи.
Повечето малки фирми, с които говоря, нямат достоверна инвентаризация на онова, което притежават. Колко лаптопа се въртят в обръщение? Кои от тях още получават сигурностни ъпдейти и които работят с операционни системи без поддръжка от 2017 насам? Какъв сърърен софтуер върви и кога за последно е бил пипан? Има ли стари телефони, на които е инсталирана фирмената поща?
Когато обемите от кръпки бяха умерени, размитата покривност беше поносима. Минаваше с малко гадаене, защото числата бяха достатъчно малки, че да си "генерално в крак" се доближаваше до "наистина в крак".
При хиляда кръпки месечно, гадаенето престава да работи. Не можеш да триажираш купа сено, която никога не си премерил.
Ето несексиото решение на цялата тази каша: направи списък.
Знам, знам. Не е точно еквивалентът на супергеройска пелерина в киберсигурността. Но ме чуй.
Инвентаризацията на активи звучи скучно, докато не осъзнаеш какво прави за теб. Превръща неуправляемото число (974 кръпки този месец!) в малко такова (три кръпки, които се отнасят за твоята реална конфигурация). Прави всяко друго сигурностно решение по-евтино, защото вече не гадаеш.
Не ти трябва разтройност инструмент за това. Започни просто. Кои устройства се свързват към мрежата ти? Какъв софтуер върви на тях? Кое се ползва наистина и кое просто е инсталирано и забравено? Когато казвам "просто", имам предвид точно това. Една таблица свършва работа. Документирано обикаляне на офиса свършва работа. Важното е да го направиш и да го обновяваш, когато нещо се промени.
Фирмите, които ще се справят добре с тази нова реалност, не са тези, които кърпят най-бързо. Те са тези, които могат да отговорят на един основен въпрос: Какво ползваме и къде седи то?
Ето нещо, за което предполагам, че не си се замислял: AI асистентите са софтуер. Софтуерът има дупки. Дупите могат да бъдат експлоатирани.
Помисли какво някои от тези инструменти имат достъп до. Копилейт с достъп до пощата ти, файловете ти, базата данни с клиенти — това е съвсем различен рисков профил от една таблица. Тези инструменти могат да четат имейлите ти, да черноват отговори от твое име и все повече — да взимат действия въз основа на това, което открият.
Малките фирми възприеха AI инструментите почти органично. Някой инсталира полезно разширение за браузъра. Някой свърза програма за водене на бележки от срещи с фирмения календар. Някой даде на асистент достъп до споделения диск, за да спести един следобед работа.
Всяко едно от тези решения е имало напълно смисъл по онова време.
Онова, което изостана, беше каквато и да е следа, че се е случило. Попитай повечето собственици на бизнес кои AI инструменти се ползват из фирмата и какви данни тези инструменти могат да виждат — и ще получиш мъдро отbagстване.
Това е shadow AI, и е дупка във видимостта с твоето име върху нея.
Решението не е да се паникьосваш и да забраняваш AI инструментите — някои от тях са наистина полезни, а конкурентите ти вероятно вече ги ползват. Решението е да ги добавиш към онази скучна таблица, за която говорихме. Кои инструменти са свързани с какво? Какво виждат?
Нека събера всичко това с нещо практическо.
Потокът от кръпки няма да спре. AI-подпомогнатото откриване на уязвимости е тук да остане, и това е предимно добра новина — повече дупки се затварят отвсякога. Но променя правилата на играта за това как малките фирми трябва да подходят към сигурността.
Не можеш да се пребориш с това чрез обем на кръпките. Не можеш да прочетеш всяко известие за сигурност и да взимаш информирани решения за всички тях. Часовете не стигат, а и повечето от нас не са сигурностни изследователи.
Онова, което можеш да направиш, е да вземеш насериозно познаването на онова, което притежаваш. Направи тази инвентаризация на активи. Не трябва да е сложна. Трябва просто да съществува.
Веднъж щом знаеш какво върви при теб, онзи поток от кръпки изведнъж става доста по-управляем. Можеш да пренебрегнеш уязвимостите, които не те засягат, и да се съсредоточиш върху тези, които те засягат.
Не можеш да кърпиш онова, което не виждаш. Това е най-старата дума в киберсигурността, и някак си никога не е било по-актуално от сега.
Купите сено стават по-големи. Това означава, че залогът за това да знаеш къде са иглите ти никога не е бил по-висок.
Тагове: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']