Microsoft выпустила рекордный патч безопасности — почти тысяча уязвимостей за один день. Но самое пугающее не цифра, а то, что две дыры, которыми уже пользовались хакеры, даже не считались критическими. Разбираемся, чем это грозит вашему малому бизнесу и почему настоящая проблема — не в тех патчах, которые нужно срочно ставить, а в тех, о которых вы даже не подозреваете.
У вашего бизнеса 974 проблемы. Как найти три, которые решат всё
Эта цифра должна вас пугать (но не по той причине, которую вы думаете)
Давайте я назову вам число: 974. Именно столько уязвимостей Microsoft закрыла за один день этого сентября. Более ста из них были помечены как критические. Всего за 2026 год компания уже пропатчила больше 2700 дыр, хотя до конца года ещё три месяца.
Но вот что меня по-настоящему беспокоит: две из этих сентябрьских уязвимостей уже использовались атакующими до того, как патчи вообще появились. И самое интересное — ни одна из них не получила оценку «критическая». Обе были помечены просто как «важные».
Одна пряталась в Windows Update Stack. Другая — в Advanced Local Procedure Call. Обе позволяли атакующему, уже оказавшемуся на вашей машине, стать полным администратором. И если бы вы полагались на оценку серьёзности от Microsoft, вы бы скорее всего отложили обе.
Так какой вывод? Дело не в том, что вы можете справиться с тысячей патчей в месяц. Большинство малых бизнесов не могут — давайте будем честны. Настоящий вопрос проще и одновременно сложнее: Вы вообще знаете, чем владеете?
Почему ваш почтовый ящик вдруг забит уведомлениями о патчах
Вот что меня удивило, когда я впервые прочитал об этой тенденции. Софт не становится хуже. Эти баги не появились вдруг из-за лени разработчиков. Многие из них сидели в коде годами — некоторые десятилетиями.
Изменилось другое. Искусственный интеллект.
Microsoft, Google, Adobe, Cisco, Mozilla и Oracle используют ИИ-инструменты, чтобы просеивать миллионы строк кода в поисках уязвимостей. И находят их с такой скоростью, с которой человеческие исследователи никогда бы не справились. Один только ИИ-пайплайн Google исправил больше тысячи багов за два релиза Chrome — больше, чем за предыдущие два года вместе взятые.
Дустин Чайлдс из Zero Day Initiative называет это «новой нормой», и честно говоря, он прав. Не ждите, что эти цифры вернутся к тому, что мы считали нормальным ещё пару лет назад.
Это плохая новость? В основном нет. Больше дыр, найденных и закрытых хорошими парнями — это победа. Поток патчей пока не сопровождается потоком атак — по крайней мере, пока. Но вот загвоздка: когда что-то всё-таки становится оружием, окно между раскрытием уязвимости и началом её эксплуатации становится всё короче. Раньше это окно давало вам время на патч. Теперь оно едва даёт время допить кофе.
Проблема видимости, о которой никто не говорит
Представьте картину. Patch Tuesday (или какой там день теперь выбрала Microsoft для своих ежемесячных пачек). Вы открываете консоль управления и видите 50 обновлений. А может, 100. А может, больше. Какая у вас стратегия?
Если вы как большинство малых бизнесов, вы наверное начинаете с критических, потом спускаетесь вниз и надеетесь на лучшее. Может, ставите всё на автоматическое обновление и считаете дело сделанным.
Вот проблема такого подхода: «критическая» не значит «вас точно задigit», а «важная» не значит «можно забить».
Слабость в DNS Windows Server — это катастрофа, если вы работаете на Windows Server. Совершенно неважно, если не работаете. Но если вы не знаете, работаете ли вы вообще на Windows Server — а давайте будем честны, сколько владельцев малого бизнеса могут ответить на это без проверки — вы, по сути, играете в безопасность вслепую.
Большинство малых бизнесов, с которыми я общаюсь, не имеют надёжной описи того, чем реально владеют. Сколько ноутбуков сейчас в обороте? Какие из них ещё получают обновления, а какие работают на ОС, поддержка которых закончилась в 2017 году? Какое серверное ПО запущено, и когда его в последний раз трогали? Есть ли старые смартфоны с доступом к рабочей почте?
Когда объёмы патчей были скромными, размытое покрытие было допустимо. Можно было жить с некоторыми предположениями, потому что цифры были небольшими и оставаться в целом в курсе было примерно равно тому, чтобы быть реально в курсе.
При тысяче исправлений в месяц гадания перестают работать. Невозможно триарить стог сена, который ты ни разу не измерял.
Инвентаризация, о которой никто не хочет говорить
Вот несексуальное решение всей этой проблемы: составьте список.
Знаю, знаю. Не то чтобы это выглядит как супергеройский плащ кибербезопасности. Но выслушайте.
Опись активов звучит скучно, пока не осознаёшь, что она для вас делает. Она превращает неуправляемое число (974 патча в этом месяце!) в маленькое (три патча, которые реально применимы к вашей конфигурации). Она делает каждое другое решение по безопасности дешевле, потому что вы больше не гадаете.
Не нужен для этого навороченный инструмент. Начните просто. Какие устройства подключены к вашей сети? Какое ПО на них работает? Что реально используется, а что просто установили и забыли? Когда я говорю «просто», я именно это и имею в виду. Таблица сойдёт. Документированный обход офиса сойдёт. Важно, чтобы вы это реально сделали и обновляли, когда что-то меняется.
Бизнесы, которые справятся с этой новой реальностью — это не те, кто быстрее всех патчится. Это те, кто может ответить на базовый вопрос: Что мы используем, и где это находится?
Ваши ИИ-инструменты тоже часть вашей поверхности атаки
Вот что вы, вероятно, не думали: ваши ИИ-ассистенты — это софт. У софта бывают баги. Баги можно эксплуатировать.
Подумайте, к чему некоторые из этих инструментов имеют доступ. Копилот с доступом к вашей почте, файлам, базе клиентов — это совершенно другой профиль риска, чем табличный редактор. Эти инструменты могут читать ваши письма, писать ответы от вашего имени и всё чаще выполнять действия на основе найденного.
Малый бизнес принял ИИ-инструменты почти органически. Кто-то установил полезное браузерное расширение. Кто-то подключил приложение для заметок на встречах к рабочему календарю. Кто-то дал ассистенту доступ к общему диску, чтобы сэкономить полдня работы.
У каждого из этих решений当时 был perfect смысл.
Что отставало — так это любая запись о том, что это произошло. Спросите большинство владельцев бизнеса, какие ИИ-инструменты используются в их компании и к каким данным эти инструменты реально имеют доступ, и вы получите многозначительную паузу.
Это shadow AI — пробел в видимости с вашим именем на нём.
Решение не в том, чтобы паниковать и запрещать ИИ-инструменты — некоторые из них реально полезны, и ваши конкуренты, вероятно, их всё равно используют. Решение в том, чтобы добавить их в ту самую скучную таблицу. Какие инструменты подключены к чему? Что они видят?
Что это значит для вас
Давайте соберу всё вместе с чем-то практическим.
Поток патчей никуда не денется. ИИ-помощь в обнаружении уязвимостей здесь надолго, и это в основном хорошая новость — закрывается больше дыр, чем когда-либо. Но это меняет правила игры для того, как малым бизнесам нужно подходить к безопасности.
Вы не можете пробиться через это количеством патчей. Вы не можете читать каждый бюллетень безопасности и принимать осознанные решения по всем. Часов в сутках не хватит, и честно, большинство из нас — не исследователи безопасности.
Что вы можете — так это серьёзно взяться за знание того, чем владеете. Создайте опись активов. Не обязательно навороченную. Главное — чтобы она была.
Когда вы знаете, что у вас работает, этот поток патчей внезапно становится куда более управляемым. Вы можете игнорировать уязвимости, которые к вам не относятся, и реально фокусироваться на тех, которые относятся.
Вы не можете пропатчить то, что не видите. Это самый старый совет в кибербезопасности, и почему-то сейчас он актуален как никогда.
Стога сена становятся больше. А значит, ставки за знание того, где именно ваши иголки, никогда не были выше.
Теги: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']