Microsoft har netop udgivet en rekordstor sikkerhedsopdatering, der lapper næsten 1.000 sårbarheder på én dag. Og det skræmmende er faktisk ikke tallet. Det er, at de to huller, hackerne aktivt udnyttede, ikke engang var markeret som kritiske.
Her er hvad det betyder for din virksomhed – og hvorfor det virkelige problem ikke er de patches, du skal installere. Det er dem, du ikke ved, du burde lede efter.
Jeg giver dig et tal: 974. Så mange sikkerhedshuller lappede Microsoft på én dag i september. Over 100 var markeret som kritiske. Virksomheden har nu ordnet flere end 2.700 fejl alene i 2026 — og vi har stadig tre måneder tilbage.
Men det der holder mig vågen om natten er noget andet: to af de huller fra september blev allerede udnyttet af angribere før rettelserne overhovedet eksisterede. Og det sjove er — ingen af dem var vurderet som "kritiske." Begge var blot markeret "vigtige."
Det ene gemte sig i Windows Update Stack. Det andet sad i noget der hedder Advanced Local Procedure Call. Begge lod en angriber der allerede var på din maskine gøre sig selv til administrator. Og hvis du stolede på Microsofts egen vurdering til at fortælle dig hvad du skulle prioritere, ville du højst sandsynligt have skubbet dem til side.
Så hvad er den egentlige lære? Det handler ikke om hvorvidt du kan håndtere tusind rettelser om måneden. De fleste små virksomheder kan ikke — lad os være ærlige. Det rigtige spørgsmål er meget enklere og meget sværere: Ved du overhovedet hvad du har?
Her er noget der overraskede mig da jeg først læste om denne tendens. Softwaren bliver ikke dårligere. De her fejl er ikke dukket op fordi udviklere er blevet dovne. Mange af dem har ligget i koden i årevis — nogle i årtier.
Hvad der ændrede sig? Kunstig intelligens.
Microsoft, Google, Adobe, Cisco, Mozilla og Oracle bruger alle AI-værktøjer til at scanne millioner af linjer kode for sikkerhedshuller. Og de finder dem i et tempo menneskelige forskere aldrig kunne matche. Googles AI-pipeline alene ordnede over tusind sikkerhedsfejl på tværs af to Chrome-versioner — mere end de to foregående år tilsammen.
Dustin Childs fra Zero Day Initiative kalder det "den nye normal," og ærligt talt: han har ret. Forvent ikke at de her tal falder tilbage til det vi betragtede som normalt for bare et par år siden.
Er det dårlige nyheder? Mest nej. Flere huller der bliver fundet og lukket af de gode er en sejr. Helvedesfloden af rettelser er ikke blevet mødt af en helvedesflod af angreb — i hvert fald ikke endnu. Men her kommer problemet: når noget bliver våben, bliver vinduet mellem hvornår sårbarheden afsløres og hvornår angribere begynder at udnytte den, kortere. Det vindue gav dig før tid til at patche. Nu giver det knap tid til at drikke din kaffe.
Lad mig male et billede. Det er Patch Tuesday (eller hvilken dag Microsoft nu beslutter sig for at slippe deres månedlige bunke). Du åbner dit administrationspanel og ser 50 opdateringer der venter. Måske 100. Måske flere. Hvad er din strategi?
Hvis du er som de fleste små virksomheder, starter du nok med de kritiske, arbejder dig nedad, og håber på det bedste. Måske har du sat det hele til automatisk opdatering og kalder det en dag.
Her er problemet med den tilgang: kritisk betyder ikke "vil definitivt skade dig" og vigtigt betyder ikke "er ligegyldigt."
En DNS-svaghed i Windows Server er katastrofal hvis du kører Windows Server. Den er fuldstændig ligegyldig hvis du ikke gør. Men hvis du ikke ved om du overhovedet kører Windows Server — og lad os være ærlige, hvor mange små virksomhedsejere kan svare på det uden at tjekke — så spiller du i bund og grund sikkerheds-whack-a-mole med bind for øjnene.
De fleste små virksomheder jeg taler med har ikke en pålidelig liste over hvad de egentlig ejer. Hvor mange bærbare computere er der i cirkulation? Hvilke får stadig sikkerhedsopdateringer og hvilke kører styresystemer der ikke længere understøttes? Hvilken server-software kører der, og hvornår blev den sidst rørt? Er der gamle smartphones derude med adgang til firmaets mail?
Da antallet af patches var til at håndtere, var løst overblik overlevelsesdygtigt. Man kunne klare sig med gætværk fordi tallene var små nok til at bredt at holde sig opdateret var tæt nok på faktisk at være opdateret.
Ved tusind rettelser om måneden holder gætværk ikke. Du kan ikke prioritere i en høstak du aldrig har målt.
Her er den kedelige løsning på hele rodet: lav en liste.
Jeg ved det godt. Det er ikke ligefrem cybersecuritys svar på en superheltekappe. Men hør mig ud.
En aktivliste lyder kedeligt indtil du indser hvad den gør for dig. Den forvandler et uoverskueligt tal (974 rettelser i denne måned!) til et lille et (tre rettelser der faktisk gælder dit setup). Den gør alle andre sikkerhedsbeslutninger billigere fordi du ikke længere gætter.
Du behøver ikke et fancy værktøj. Start simpelt. Hvilke enheder forbinder til dit netværk? Hvilken software kører på dem? Hvad bliver faktisk brugt versus det der bare blev installeret og glemt? Når jeg siger simpelt, mener jeg det. Et regneark virker. En dokumenteret rundtur i dit kontor virker. Det der betyder noget er at du faktisk gør det, og at du opdaterer det når noget ændrer sig.
De virksomheder der kommer til at håndtere denne nye virkelighed godt er ikke dem der checker hurtigst. Det er dem der kan svare på et basalt spørgsmål: Hvad kører vi, og hvor sidder det?
Her er noget jeg er ret sikker på du ikke har tænkt over: dine AI-assistenter er software. Software har fejl. Fejl kan udnyttes.
Tænk over hvad nogle af de her værktøjer kan tilgå. En copilot med adgang til din indbakke, dine filer, din kundedatabase — det er en helt anden risikoprofil end et regneark. De her værktøjer kan læse dine mails, udarbejde svar på dine vegne, og i stigende grad tage handlinger baseret på hvad de finder.
Små virksomheder har taget AI-værktøjer til sig nærmest organisk. Nogen installerede en handy browser-udvidelse. Nogen koblede et møde-notetagningsværktøj til firmaets kalender. Nogen gav en assistent adgang til den delte drive for at spare en eftermiddags arbejde.
Hver eneste af de beslutninger gav perfekt mening på det tidspunkt.
Det der haltede bagefter var enhver form for registrering af at det skete. Spørg de fleste virksomhedsejere hvilke AI-værktøjer der er i brug på tværs af deres firma og hvilke data de har adgang til, og du får en eftertænksom pause.
Det er shadow AI, og det er et synlighedsproblem med dit navn på.
Løsningen er ikke at gå i panik og forbyde AI-værktøjer — nogle af dem er faktisk nyttige, og dine konkurrenter bruger dem sandsynligvis alligevel. Løsningen er at føje dem til det kedelige regneark vi snakkede om. Hvilke værktøjer er koblet til hvad? Hvad kan de se?
Lad mig samle det hele med noget praktisk.
Rettelsesfloden forsvinder ikke. AI-assisteret sårbarhedsfinding er kommet for at blive, og det er faktisk mest godt nyt — flere huller lukkes end nogensinde før. Men det ændrer spillet for hvordan små virksomheder skal gribe sikkerhed an.
Du kan ikke pache dig igennem det her via volumen. Du kan ikke læse hver eneste sikkerhedsbulletin og træffe informerede beslutninger om dem alle. Der er ikke timer nok i dagen, og ærligt, de fleste af os er ikke sikkerhedsforskere.
Hvad du kan gøre er at tage alvorligt at vide hvad du har. Byg den aktivliste. Den behøver ikke være fancy. Den skal bare eksistere.
Når du ved hvad du kører, bliver den flod af rettelser pludselig til en langt mere håndterbar strøm. Du kan ignorere de sårbarheder der ikke gælder dig og faktisk fokusere på dem der gør.
Du kan ikke pache det du ikke kan se. Det er det ældste råd i cybersikkerhed, og på en eller anden måde har det aldrig været mere relevant end lige nu.
Høstakkene bliver større. Det betyder at indsatsen for at vide hvor dine nåle er, aldrig har været højere.
Tags: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']