Η Microsoft βγήκε χθες με μια τεράστια αναβάθμιση ασφαλείας — σχεδόν 1.000 κενά διορθώθηκαν σε μια μέρα. Το τρομακτικό όμως δεν είναι ο αριθμός. Είναι ότι τα δύο κενά που οι επιτιθέμενοι εκμεταλλεύονταν ήδη, δεν είχαν καν σημαδευτεί ως κρίσιμα.
Τι σημαίνει αυτό για την μικρή σου επιχείρηση; Το πραγματικό πρόβλημα δεν είναι τα patches που πρέπει να βάλεις. Είναι αυτά που δεν ξέρεις καν ότι υπάρχουν.
Θα σου πω έναν αριθμό: 974. Τόσες ευπάθειες διόρθωσε η Microsoft σε μια μόνο μέρα τον Σεπτέμβριο. Πάνω από 100 χαρακτηρίστηκαν κρίσιμες. Η εταιρεία έχει φτάσει τις 2.700 διορθώσεις μέσα στο 2026 — και απομένουν ακόμα τρεις μήνες.
Αλλά αυτό που με κρατάει ξύπνιο τη νύχτα είναι αλλού: δύο από αυτές τις ευπάθειες του Σεπτεμβρίου εκμεταλλεύονταν ήδη από επιτιθέμενους πριν κυκλοφορήσουν οι ενημερώσεις. Και το καλύτερο; Καμία δεν είχε χαρακτηριστεί «κρίσιμη». Και οι δύο ήταν απλά «σημαντικές».
Η μία έκρυβε πρόβλημα στο Windows Update Stack. Η άλλη καθόταν σε κάτι που λέγεται Advanced Local Procedure Call. Και οι δύο επέτρεπαν σε έναν επιτιθέμενο που είχε ήδη πρόσβαση στο μηχάνημά σου να γίνει πλήρης διαχειριστής. Αν βασιζόσουν στην αξιολόγηση της Microsoft για να αποφασίσεις τι θα διορθώσεις πρώτα; Μάλλον θα τις είχες αφήσει για αργότερα.
Ποιο είναι λοιπόν το πραγματικό μάθημα; Δεν είναι αν μπορείς να απορροφήσεις χίλιες ενημερώσεις τον μήνα. Οι περισσότερες μικρές επιχειρήσεις δεν μπορούν — ας το πούμε ειλικρινά. Η πραγματική ερώτηση είναι απλούστερη και δυσκολότερη: Ξέρεις καν τι έχεις;
Κάτι που με εξέπληξε όταν το διάβασα πρώτη φορά. Το λογισμικό δεν έγινε χειρότερο. Τα σφάλματα δεν εμφανίστηκαν ξαφνικά επειδή οι προγραμματιστές έγιναν τεμπέληδες. Πολλά κάθονταν στον κώδικα για χρόνια — κάποια για δεκαετίες.
Τι άλλαξε; Η τεχνητή νοημοσύνη.
Microsoft, Google, Adobe, Cisco, Mozilla και Oracle χρησιμοποιούν πλέον AI εργαλεία για να σαρώνουν εκατομμύρια γραμμές κώδικα ψάχνοντας για τρύπες ασφαλείας. Και τις βρίσκουν με ρυθμό που κανένας ανθρώπινος ερευνητής δεν μπορούσε να ακολουθήσει. Το AI της Google διόρθωσε μόνο του πάνω από χίλια προβλήματα ασφαλείας σε δύο εκδόσεις του Chrome — περισσότερα από τα δύο προηγούμενα χρόνια μαζί.
Ο Dustin Childs από το Zero Day Initiative το λέει «νέο κανονικό», και ειλικρινά; Έχει δίκιο. Μην περιμένεις αυτοί οι αριθμοί να πέσουν σε αυτό που θεωρούσαμε φυσιολογικό πριν λίγα χρόνια.
Είναι κακό αυτό; Στην πλειοψηφία του, όχι. Περισσότερες τρύπες που βρίσκονται και κλείνονται από τους «καλούς» είναι νίκη. Η βροχή ενημερώσεων δεν συνοδεύτηκε από βροχή επιθέσεων — τουλάχιστον όχι ακόμα. Αλλά εδώ είναι η παγίδα: όταν κάτι γίνει όπλο, το παράθυρο ανάμεσα στην αποκάλυψη της ευπάθειας και στην εκμετάλλευσή της συρρικνώνεται συνεχώς. Παλιά σου έδινε χρόνο να ενημερώσεις. Τώρα δεν σου φτάνει ούτε για τον καφέ σου.
Άσε με να σου περιγράψω μια εικόνα. Είναι Patch Tuesday (ή όποια μέρα αποφασίσει η Microsoft να ρίξει το μηνιαίο πακέτο της). Ανοίγεις την κονσόλα διαχείρισης και βλέπεις 50 ενημερώσεις να περιμένουν. Ίσως 100. Ίσως περισσότερες. Ποια είναι η στρατηγική σου;
Αν είσαι σαν τις περισσότερες μικρές επιχειρήσεις, πιθανότατα ξεκινάς από τις κρίσιμες, πας προς τα κάτω, και ελπίζεις για το καλύτερο. Ή βάζεις τα πάντα σε αυτόματη ενημέρωση και τελειώνεις.
Το πρόβλημα με αυτή την προσέγγιση; «Κρίσιμο» δεν σημαίνει «θα σε πειράξει σίγουρα» και «σημαντικό» δεν σημαίνει «δεν έχει σημασία».
Ένα πρόβλημα DNS στον Windows Server είναι καταστροφικό αν τρέχεις Windows Server. Είναι εντελώς άχρηστο αν δεν τρέχεις. Αλλά αν δεν ξέρεις αν έχεις Windows Servers — και ειλικρινά, πόσοι μικροί επιχειρηματίες μπορούν να απαντήσουν χωρίς να ψάξουν — παίζεις ουσιαστικά κυνήγι ευπαθειών με δεμένα μάτια.
Οι περισσότερες μικρές επιχειρήσεις που μιλάω δεν έχουν αξιόπιστο κατάλογο του τι έχουν πραγματικά. Πόσοι φορητοί υπολογιστές κυκλοφορούν αυτή τη στιγμή; Ποιοι παίρνουν ακόμα ενημερώσεις και ποιοι τρέχουν λειτουργικά χωρίς υποστήριξη από το 2017; Τι λογισμικό server τρέχει και πότε ήταν η τελευταία φορά που το ακούμπησε κανείς; Υπάρχουν ακόμα παλιά κινητά με πρόσβαση στο εταιρικό email;
Όταν οι ενημερώσεις ήταν λίγες, η θολή κάλυψη ήταν ανεκτή. Μπορούσες να τα καταφέρεις με κάποιες εκτιμήσεις γιατί οι αριθμοί ήταν μικροί — αν έμενες ευρέως ενημερωμένος, ήσουν σχεδόν σίγουρος ότι ήσουν και πραγματικά.
Στις χίλιες διορθώσεις τον μήνα, οι εκτιμήσεις σταματάνε να δουλεύουν. Δεν μπορείς να ιεραρχήσεις μια άχυρη σε αχυρώνα που δεν έχεις μετρήσει.
Εδώ είναι η αντισυμβατική λύση σε όλο αυτό: φτιάξε μια λίστα.
Ξέρω, ξέρω. Δεν είναι ακριβώς η κινηματογραφική εκδοχή της κυβερνοασφάλειας. Αλλά άκου με.
Ένας κατάλογος περιουσιακών στοιχείων ακούγεται βαρετός μέχρι να καταλάβεις τι κάνει για σένα. Μετατρέπει έναν αριθμό που δεν μπορείς να διαχειριστείς (974 ενημερώσεις αυτόν τον μήνα!) σε έναν μικρό (τρεις ενημερώσεις που αφορούν το δικό σου σύστημα). Κάνει κάθε άλλη απόφαση ασφαλείας φθηνότερη γιατί δεν μαντεύεις πια.
Δεν χρειάζεσαι απαραίτητα εξεζητημένο εργαλείο. Ξεκίνα απλά. Ποια μηχανήματα συνδέονται στο δίκτυό σου; Τι λογισμικό τρέχουν; Τι χρησιμοποιείται πραγματικά σε αντίθεση με αυτό που απλά εγκαταστάθηκε και ξεχάστηκε; Όταν λέω «απλά», το εννοώ. Ένα υπολογιστικό φύλλο δουλεύει. Μια βόλτα με σημειώσεις στο γραφείο δουλεύει. Αυτό που έχει σημασία είναι να το κάνεις πραγματικά — και να το ενημερώνεις όταν αλλάζει κάτι.
Οι επιχειρήσεις που θα ανταπεξέλθουν σε αυτή την πραγματικότητα δεν είναι αυτές που ενημερώνουν πιο γρήγορα. Είναι αυτές που μπορούν να απαντήσουν σε μια βασική ερώτηση: Τι τρέχουμε, και πού βρίσκεται;
Κάτι που στοιχηματίζω δεν το σκέφτηκες: οι AI βοηθοί σου είναι λογισμικό. Το λογισμικό έχει ελαττώματα. Τα ελαττώματα μπορούν να εκμεταλλευτούν.
Σκέψου τι μπορούν να έχουν πρόσβαση μερικά από αυτά τα εργαλεία. Ένα copilot με πρόσβαση στα email σου, τα αρχεία σου, τη βάση πελατών σου — αυτό είναι εντελώς διαφορετικό προφίλ κινδύνου από ένα πρόγραμμα υπολογογραφικών φύλλων. Αυτά τα εργαλεία διαβάζουν τα μηνύματά σου, συντάσσουν απαντήσεις για λογαριασμό σου, και όλο και περισσότερο εκτελούν ενέργειες με βάση αυτά που βρίσκουν.
Οι μικρές επιχειρήσεις αγκάλιασαν τα AI εργαλεία σχεδόν οργανικά. Κάποιος εγκατέστησε μια χρήσιμη επέκταση browser. Κάποιος συνέδεσε έναν ψηφιακό σημειωματολήπτη με το εταιρικό ημερολόγιο. Κάποιος έδωσε σε έναν βοηθό πρόσβαση στον κοινόχρηστο δίσκο για να γλιτώσει ένα απόγευμα δουλειάς.
Κάθε μία από αυτές τις αποφάσεις έδειχνε απόλυτα λογική τη στιγμή που πάρθηκε.
Αυτό που έμεινε πίσω ήταν κάθε αρχείο ότι συνέβη. Ρώτα τους περισσότερους ιδιοκτήτες ποιες AI εφαρμογές χρησιμοποιούνται στην εταιρεία τους και σε τι δεδομένα μπορούν πραγματικά να φτάσουν — και θα πάρεις μια σκεπτική παύση.
Αυτό είναι shadow AI, και είναι ένα κενό ορατότητας με το όνομά σου πάνω του.
Η λύση δεν είναι να πανικοβληθείς και να απαγορεύσεις τα AI εργαλεία — μερικά είναι πραγματικά χρήσιμα, και οι ανταγωνιστές σου πιθανότατα τα χρησιμοποιούν ήδη. Η λύση είναι να τα βάλεις σε εκείνο το βαρετό υπολογιστικό φύλλο. Ποια εργαλεία είναι συνδεδεμένα με ποια; Τι μπορούν να δουν;
Ας τα μαζέψω όλα με κάτι πρακτικό.
Η βροχή ενημερώσεων δεν πρόκειται να σταματήσει. Η ανακάλυψη ευπαθειών με τη βοήθεια AI ήρθε για να μείνει, και αυτό είναι στην πλειοψηφία του καλό — περισσότερες τρύπες κλείνουν από ποτέ. Αλλά αλλάζει τα δεδομένα για το πώς οι μικρές επιχειρήσεις πρέπει να προσεγγίσουν την ασφάλεια.
Δεν μπορείς να ενημερώσεις τον δρόμο σου μέσα από αυτό με όγκο. Δεν μπορείς να διαβάσεις κάθε δελτίο ασφαλείας και να αποφασίσεις τεκμηριωμένα για όλα. Δεν υπάρχουν αρκετές ώρες, και ειλικρινά, οι περισσότεροι από εμάς δεν είμαστε ερευνητές ασφαλείας.
Αυτό που μπορείς να κάνεις είναι να πάρεις στα σοβαρά το να ξέρεις τι έχεις. Φτιάξε τον κατάλογο περιουσιακών στοιχείων. Δεν χρειάζεται να είναι εξεζητημένος. Απλά πρέπει να υπάρχει.
Μόλις ξέρεις τι τρέχεις, ξαφνικά αυτή η βροχή ενημερώσεων γίνεται ένα πολύ πιο διαχειρίσιμο ρυάκι. Μπορείς να αγνοήσεις τις ευπάθειες που δεν σε αφορούν και να επικεντρωθείς πραγματικά σε αυτές που σε αφορούν.
Δεν μπορείς να ενημερώσεις αυτό που δεν βλέπεις. Είναι η παλαιότερη συμβουλή στην κυβερνοασφάλεια, και κάπως δεν ήταν ποτέ πιο επίκαιρη από τώρα.
Οι άχυροι μεγαλώνουν. Αυτό σημαίνει ότι το διακύβευμα για να ξέρεις πού βρίσκονται οι βελόνες σου δεν ήταν ποτέ υψηλότερο.
Ετικέτες: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']