Microsoft właśnie zaskoczył całą branżę bezprecedensową aktualizacją bezpieczeństwa. W jeden dzień załatano prawie tysiąc luk w zabezpieczeniach. Ale najgorsze nie jest nawet to. Chodzi o to, że dwie luki, które atakujący aktywnie wykorzystywali, w ogóle nie były oznaczone jako krytyczne.
Oto co to oznacza dla twojej małej firmy i dlaczego prawdziwy problem to nie łatki, które musisz zainstalować — ale te, o których istnieniu nawet nie wiesz.
Dam ci liczbę: 974. Tyle luk w zabezpieczeniach Microsoft załatał jednego dnia we września. Ponad sto z nich oznaczono jako krytyczne. Firma załatała już ponad 2700 błędów w samym 2026 roku, a do końca roku zostały jeszcze trzy miesiące.
A teraz to, co naprawdę nie да mi spać: dwie z tych wrzesniowych luk były już aktywnie wykorzystywane przez atakujących zanim w ogóle pojawiły się łatki. I co ciekawe — żadna z nich nie dostała oceny "krytyczna". Obie były oznaczone tylko jako "ważne".
Jedna czaiła się w mechanizmie Windows Update Stack. Druga siedziała w czymś o nazwie Advanced Local Procedure Call. Obie pozwalały atakującemu, który już dostał się na twój komputer, przemienić się w pełnoprawnego admina. I jeśli polegałeś na ocenie Microsoftu, żeby wiedzieć co naprawiać w pierwszej kolejności, pewnie obie byś zlekceważył.
Więc jaka jest prawdziwa lekcja? To nie jest pytanie, czy dasz radę przetworzyć tysiąc łatek miesięcznie. Większość małych firm nie może — bądźmy szczerzy. Prawdziwe pytanie jest prostsze i trudniejsze: Czy w ogóle wiesz, co posiadasz?
Jest coś, co mnie zaskoczyło, gdy pierwszy raz o tym czytałem. Oprogramowanie nie stało się gorsze. Te błędy nie pojawiły się nagle dlatego, że programiści się rozleniwili. Wiele z nich siedziało w kodzie latami — niektóre wręcz dekadami.
Co się zmieniło? Sztuczna inteligencja.
Microsoft, Google, Adobe, Cisco, Mozilla i Oracle — wszyscy używają narzędzi AI do przeszukiwania milionów linii kodu w poszukiwaniu dziur w zabezpieczeniach. I znajdują je w tempie, o jakim ludzkim badaczom się nie śniło. Samo AI Google naprawiło ponad tysiąc błędów bezpieczeństwa w dwóch wydaniach Chrome — więcej niż w poprzednich dwóch latach razem wziętych.
Dustin Childs z Zero Day Initiative nazywa to "nową normalnością" i szczerze mówiąc, myślę że ma rację. Nie licz na to, że te liczby wrócą do tego, co jeszcze kilka lat temu uważaliśmy za normę.
Czy to zła wiadomość? W większości nie. Znajdywanie i łatanie dziur przez tych dobrych gości to wygrana. Powódź łatek nie idzie w parze z powodzią ataków — przynajmniej na razie. Ale jest jedno "ale": gdy coś zostanie zbronzowane, okno między ujawnieniem luki a momentem, gdy atakujący zaczną z niej korzystać, nieustannie się kurczy. Kiedyś to okno dawało ci czas na reakcję. Teraz ledwo starcza na kawę.
Pozwól, że ci to zobrazuję. Jest Patch Tuesday (albo którykolwiek dzień, w którym Microsoft postanowi wypuścić swój comiesięczny pakiet). Otwierasz konsolę zarządzania i widzisz 50 aktualizacji. Może 100. Może więcej. Jaka jest twoja strategia?
Jeśli jesteś jak większość małych firm, pewnie zaczynasz od krytycznych, potem schodzisz niżej i masz nadzieję na najlepsze. Może ustawiasz wszystko na automatyczną aktualizację i uzbrajasz to za załatwione.
Problem z tym podejściem jest taki: "krytyczne" nie znaczy "na pewno cię zaboli", a "ważne" nie znaczy "nie istotne".
Słabość DNS w Windows Server jest devastująca, jeśli masz Windows Server. Kompletnie nieistotna, jeśli go nie masz. Ale jeśli nie wiesz, czy w ogóle masz Windows Server — a bądźmy szczerzy, ilu właścicieli małych firm potrafi odpowiedzieć na to pytanie bez sprawdzania — to tak jakbyś grał w whac-a-mole z zawiązanymi oczami.
Większość małych firm, z którymi rozmawiam, nie ma wiarygodnego spisu tego, co naprawdę posiada. Ile laptopów aktualnie jest w obiegu? Które z nich wciąż dostają aktualizacje bezpieczeństwa, a które mają systemy operacyjne, które nie są wspierane od 2017 roku? Jakie oprogramowanie serwerowe działa i kiedy było ostatnio dotknięte? Czy gdzieś nie leżą stare smartfony z dostępem do firmowej poczty?
Kiedy ilość łatek była niewielka, mniej więcej wiedza wystarczała. Dało się przeżyć z jakim takim zgadywaniem, bo liczby były na tyle małe, że bycie ogólnie na bieżąco było bliskie byciu naprawdę na bieżąco.
Przy tysiącu napraw miesięcznie, zgadywanie przestaje działać. Nie możesz przesortować stogu siana, którego nigdy nie zmierzyłeś.
Oto brzydkie rozwiązanie tego całego bałaganu: zrób listę.
Wiem, wiem. To nie brzmi jak cyberbezpieczeństwowy odpowiednik peleryny superbohatera. Ale posłuchaj.
Inwentarz zasobów brzmi nudno, dopóki nie uświadomisz sobie, co dzięki niemu zyskujesz. Zamienia nieogarnialną liczbę (974 łatki w tym miesiącu!) w malutką (trzy łatki, które dotyczą twojej konkretnej konfiguracji). Sprawia, że każda inna decyzja bezpieczeństwa jest tańsza, bo nie musisz już zgadywać.
Nie potrzebujesz do tego żadnego wyrafinowanego narzędzia. Zacznnij prosto. Jakie urządzenia łączą się z twoją siecią? Jakie oprogramowanie na nich działa? Co jest faktycznie używane, a co po prostu zostało zainstalowane i zapomniane? Kiedy mówię "prosto", to mam to na myśli. Arkusz kalkulacyjny wystarczy. Udokumentowany obchód biura wystarczy. Liczy się tylko to, żebyś to faktycznie zrobił i żebyś go aktualizował, gdy coś się zmieni.
Firmy, które poradzą sobie z tą nową rzeczywistością, nie będą tymi, które najszybciej łatają. Będą tymi, które potrafią odpowiedzieć na podstawowe pytanie: Co mamy i gdzie to siedzi?
Jest coś, o czym pewnie nie myślałeś: twoje asystenty AI to oprogramowanie. Oprogramowanie ma błędy. Błędy mogą być wykorzystane.
Pomyśl, do czego niektóre z tych narzędzi mają dostęp. Copilot z dostępem do twojej skrzynki, plików, bazy klientów — to zupełnie inny profil ryzyka niż arkusz kalkulacyjny. Te narzędzia mogą czytać twoje maile, tworzyć odpowiedzi w twoim imieniu i coraz częściej podejmować działania na podstawie tego, co znajdą.
Małe firmy przyjęły narzędzia AI niemal organicznie. Ktoś zainstalował pomocne rozszerzenie do przeglądarki. Ktoś podłączył notatnik ze spotkań do firmowego kalendarza. Ktoś dał asystentowi dostęp do wspólnego dysku, żeby zaoszczędzić popołudnie pracy.
Każda z tych decyzji w momencie podjęcia miała perfect sense.
Co pozostało w tyle, to jakikolwiek ślad, że to się wydarzyło. Zapytaj większość właścicieli firm, jakie narzędzia AI są używane w ich firmie i do jakich danych te narzędzia mają dostęp — i usłyszysz głęboką, zastanawiającą ciszę.
To shadow AI, i to jest luka w widoczności z twoim nazwiskiem na niej.
Rozwiązanie nie polega na panice i zakazie narzędzi AI — niektóre z nich są naprawdę użyteczne, a twoja konkurencja pewnie i tak z nich korzysta. Rozwiązanie polega na dodaniu ich do tego nudnego arkusza kalkulacyjnego, o którym mówiliśmy. Jakie narzędzia są podłączone do czego? Co widzą?
Pozwól, że złożę to wszystko w coś praktycznego.
Powódź łatek nie ustanie. Odkrywanie luk z asystencją AI jest tu na stałe i to w większości dobra wiadomość — zamykanych jest więcej dziur niż kiedykolwiek wcześniej. Ale to zmienia reguły gry jeśli chodzi o to, jak małe firmy muszą podchodzić do bezpieczeństwa.
Nie da się przepchać przez to samą ilością łatek. Nie da się czytać każdego biuletynu bezpieczeństwa i podejmować świadomych decyzji o wszystkich. Nie ma tyle godzin w dobie, a szczerze mówiąc, większość z nas nie jest badaczami bezpieczeństwa.
Co możesz zrobić, to potraktować poważnie wiedzę o tym, co posiadasz. Zbuduj ten inwentarz zasobów. Nie musi być wyrafinowany. Musi tylko istnieć.
Gdy wiesz, co masz, nagle ta powódź łatek staje się o wiele bardziej sterowalnym strumyczkiem. Możesz ignorować luki, które cię nie dotyczą, i faktycznie skupić się na tych, które dotyczą.
Nie załatasz tego, czego nie widzisz. To najstarsza rada w cyberbezpieczeństwie i jakoś nigdy nie była bardziej aktualna niż teraz.
Stogi siana rosną. To oznacza, że stawki za znajomość tego, gdzie są twoje igły, nigdy nie były wyższe.
Tagi: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']