Microsoft la ut en rekordstor sikkerhetsoppdatering som fikset nesten 1000 sårbarheter på én dag. Det skumleste er ikke tallet – det er at de to hullene angriperne aktivt utnyttet, ikke engang var merket som kritiske. Her er hva dette betyr for den lille bedriften din, og hvorfor det egentlige problemet ikke er oppdateringene du må installere, men de du ikke engang vet at du bør se etter.
974 problemer i bedriften din? Slik finner du de 3 som virkelig betyr noe
Det tallet burde skremme deg (men kanskje av feil grunn)
La meg gi deg et tall: 974. Slik mange sikkerhetshull Microsoft lappet i løpet av én dag denne september. Over 100 var merket som kritiske. Selskapet har nå fikset mer enn 2700 feil bare i 2026 – og vi har fortsatt tre måneder igjen.
Her er det som faktisk holder meg våken om natta: to av disse hullene ble allerede utnyttet av angripere før oppdateringene i det hele tatt fantes. Og enda mer interessant – verken var merket som kritiske. Begge var merket som «viktige».
Én gjemte seg i Windows Update Stack. Den andre satt i noe som heter Advanced Local Procedure Call. Begge lot en angriper som allerede hadde tilgang til maskinen din, gi seg selv fulle admin-rettigheter. Og hvis du stolte på Microsofts vurdering av alvorlighetsgrad, hadde du sannsynligvis nedprioritert begge.
Så hva er den egentlige lærdommen? Det er ikke om du kan håndtere tusen oppdateringer i måneden. De fleste småbedrifter kan ikke – la oss være ærlige. Det virkelige spørsmålet er mye enklere og mye hardere: Vet du egentlig hva du har?
Hvorfor innboksen din plutselig flyter over av oppdateringsvarsler
Her er greia som overrasket meg da jeg først leste om denne trenden. Programvaren blir ikke dårligere. Disse feilene har ikke plutselig dukket opp fordi utviklerne har blitt late. Mange av dem har ligget i koden i år – noen i flere tiår.
Hva har forandret seg? Kunstig intelligens.
Microsoft, Google, Adobe, Cisco, Mozilla og Oracle bruker alle AI-verktøy til å skanne gjennom millioner av linjer med kode på jakt etter sikkerhetsfeil. Og de finner dem i et tempo menneskelige forskere aldri kunne klart. Googles AI-pipeline alene fikset over tusen sikkerhetsfeil på to Chrome-versjoner – mer enn de to foregående årene til sammen.
Dustin Childs fra Zero Day Initiative kaller dette «den nye normalen», og ærlig talt – jeg tror han har rett. Forvent ikke at disse tallene synker tilbake til det vi betraktet som normalt for bare noen få år siden.
Er dette dårlige nyheter? For det meste nei. Flere hull blir funnet og fikset av de gode gutta – det er en seier. Flommen av oppdateringer har ikke blitt møtt av en flom av angrep – i hvert fall ikke ennå. Men her er haken: når noe blir våpenisert, blir vinduet mellom når hullet avsløres og når angriperne begynner å utnytte det, stadig kortere. Det vinduet ga deg før tid til å lappe. Nå rekker du knapt å drikke kaffen.
Synlighetsproblemet ingen snakker om
La meg male et bilde. Det er Patch Tuesday (eller hvilken som helst dag Microsoft nå velger å slippe sin månedlige bunke). Du åpner administrasjonskonsollen og ser 50 oppdateringer som venter. Kanskje 100. Kanskje flere. Hva er strategien din?
Hvis du er som de fleste småbedrifter, starter du kanskje med de kritiske, jobber deg nedover, og håper på det beste. Kanskje setter du alt på automatisk oppdatering og tenker at det er godt nok.
Her er problemet med den tilnærmingen: kritisk betyr ikke «vil definitivt skade deg» og viktig betyr ikke «har ingen betydning».
En DNS-svakhet i Windows Server er katastrofal hvis du kjører Windows Server. Den er fullstendig irrelevant hvis du ikke gjør det. Men hvis du ikke vet om du kjører Windows Server – og la oss være ærlige, hvor mange småbedriftseiere kan svare på det uten å sjekke – spiller du i praksis sikkerhetspikseleken med bind for øynene.
De fleste småbedriftene jeg snakker med har ikke en pålitelig oversikt over hva de faktisk eier. Hvor mange bærbare er i omløp akkurat nå? Hvilke får fortsatt sikkerhetsoppdateringer og hvilke kjører operativsystemer som ikke har hatt støtte siden 2017? Hvilken serverprogramvare kjører, og når ble den sist rørt? Finnes det gamle telefoner rundt omkring med tilgang til bedriftens e-post?
Da antallet oppdateringer var moderat, var løs oversikt levelig. Du kunne klare deg med litt gjetting fordi tallene var små nok til at bredt oppdatert var nært nok til faktisk oppdatert.
Med tusen fikser i måneden slutter gjetting å fungere. Du kan ikke prioritere en høystakk du aldri har målt.
Oversikten ingen vil snakke om
Her er den kjedelige løsningen på hele greia: lag en liste.
Jeg vet, jeg vet. Det er ikke akkurat cybersecuritys svar på superheltskappe. Men hør på meg.
En aktivabeholdning høres kjedelig ut helt til du skjønner hva den faktisk gjør for deg. Den forvandler et uoverkommelig tall (974 oppdateringer denne måneden!) til et lite et (tre oppdateringer som gjelder for akkurat ditt oppsett). Den gjør alle andre sikkerhetsbeslutninger billigere fordi du ikke lenger gjetter.
Du trenger ikke et fancy verktøy til dette. Start enkelt. Hvilke enheter kobles til nettverket ditt? Hvilken programvare kjører på dem? Hva er faktisk i bruk versus hva som bare ble installert og glemt? Når jeg sier «enkelt», mener jeg det. Et regneark funker. En dokumentert runde gjennom kontoret funker. Det som betyr noe er at du faktisk gjør det, og at du oppdaterer det når noe forandrer seg.
De bedriftene som vil takle denne nye virkeligheten godt, er ikke de som oppdaterer raskest. Det er de som kan svare på et grunnleggende spørsmål: Hva kjører vi, og hvor er det?
AI-verktøyene dine er nå en del av angrepsoverflaten
Her er noe jeg tipper du ikke har tenkt på: AI-assistentene dine er programvare. Programvare har feil. Feil kan utnyttes.
Tenk på hva noen av disse verktøyene kan få tilgang til. En copilot med tilgang til innboksen din, filene dine, kundedatabasen din – det er en helt annen risikoprofil enn et regneark. Disse verktøyene kan lese e-postene dine, skrive svar på dine vegne, og i økende grad utføre handlinger basert på det de finner.
Småbedrifter har tatt i bruk AI-verktøy nesten organisk. Noen installerte en nyttig nettleserutvidelse. Noen koblet et møtereferatverktøy til bedriftens kalender. Noen ga en assistent tilgang til fellesdisken for å spare ettermiddagen.
Hver eneste av de beslutningene ga perfekt mening da.
Det som har ligget etter, er enhver oversikt over at det skjedde. Spør de fleste bedriftseiere hvilke AI-verktøy som er i bruk i bedriften og hvilke data de faktisk kan nå, og du får en tankefull pause.
Det er skygge-AI, og det er et synlighetsgap med navnet ditt på det.
Løsningen er ikke å få panikk og forby AI-verktøy – noen av dem er faktisk nyttige, og konkurrentene dine bruker dem sannsynligvis uansett. Løsningen er å legge dem til i det kjedelige regnearket vi snakket om. Hvilke verktøy er koblet til hva? Hva kan de se?
Hva dette betyr for deg
La meg samle alt dette med noe konkret du kan ta med deg.
Flommen av oppdateringer forsvinner ikke. AI-assistert sårbarhetsleting er her for å bli, og det er egentlig mest godt nytt – flere hull blir lukket enn noen gang før. Men det endrer spillet for hvordan småbedrifter må tenke på sikkerhet.
Du kan ikke lappe deg gjennom dette etter volum. Du kan ikke lese hver eneste sikkerhetsbulletin og ta informerte avgjørelser om alle sammen. Det er ikke nok timer i døgnet, og ærlig talt – de fleste av oss er ikke sikkerhetsforskere.
Det du kan gjøre, er å bli alvorlig om å vite hva du eier. Bygg den aktivabeholdningen. Den trenger ikke være fancy. Den må bare eksistere.
Når du vet hva du kjører, blir den flommen av oppdateringer plutselig en langt mer håndterbar strøm. Du kan ignorere sårbarhetene som ikke gjelder deg og faktisk konsentrere deg om de som gjør det.
Du kan ikke lappe det du ikke kan se. Det er det eldste rådet i cybersecurity, og på et eller annet vis er det aldri vært mer relevant enn akkurat nå.
Høystakkene blir større. Det betyr at innsatsen for å vite hvor nålene dine faktisk er, aldri har vært høyere.
Tagger: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']