Microsoft har precis släppt en rekordstor säkerhetsuppdatering – nästan tusen sårbarheter fixades på en enda dag. Det läskiga är inte siffran. Det är att de två luckor som angripare aktivt utnyttjade inte ens var markerade som kritiska. Här är vad det betyder för ditt lilla företag – och varför det verkliga problemet inte är de patchar du behöver installera, utan de du inte ens vet om att du borde jaga.
Din verksamhet har 974 problem. Så hittar du de tre som faktiskt spelar roll
Den siffran borde oroa dig (men inte av skälen du tror)
Här är en siffra: 974. Så många säkerhetshål rättade Microsoft till i september. Över 100 av dem klassades som kritiska. Hittills i år har företaget lagat fler än 2 700 luckor – och vi har tre månader kvar.
Det som håller mig vaken är något annat: två av de där sårbarheterna utnyttjades redan aktivt av angripare innan någon patch ens fanns. Och vänta nu – ingen av dem var kritisk. Båda fick betyget "viktig".
Den ena gömde sig i Windows Update Stack. Den andra satt i något som heter Advanced Local Procedure Call. Båda lät en angripare som redan hade foten inne på din maskin ge sig själv full administratörsrättigheter. Om du förlitade dig på Microsofts egen bedömning för att avgöra vad som var brådskande? Då hade du troligen skjutit upp båda.
Så vad är lärdomén? Det handlar inte om huruvida du kan svälja tusen patchar i månaden. Det klarar inte de flesta småföretag. Den verkliga frågan är enklare – och mycket svårare: Vet du ens vad du äger?
Varför din inkorg plötsligt svämmar över av uppdateringar
Något som förvånade mig när jag först läste om den här trenden: mjukvaran har inte blivit sämre. Buggarna har inte dykt upp för att utvecklare har blivit slarviga. Många av dem har funnits i koden i åratal – vissa i decennier.
Vad som har förändrats? Artificiell intelligens.
Microsoft, Google, Adobe, Cisco, Mozilla och Oracle använder alla AI-verktyg för att genomsöka miljontals rader kod efter säkerhetsbrister. Och de hittar dem i en takt som mänskliga forskare aldrig skulle kunna matcha. Enbart Googles AI-pipeline åtgärdade över tusen säkerhetsbuggar över två Chrome-versioner – fler än under de två föregående åren sammanlagt.
Dustin Childs på Zero Day Initiative kallar detta för "den nya normalen", och ärligt talat håller jag med. Räkna inte med att de här siffrorna sjunker tillbaka till det vi betraktade som normalt för bara några år sedan.
Är det dåliga nyheter? Mestadels nej. Fler hål som hittas och lagas av de bra grabbarna är en vinst. Patchfloden har inte åtföljts av en attackflod – åtminstone inte ännu. Men här är grejen: när något blir vapen, krymper tidsfönstret mellan att sårbarheten offentliggörs och att angripare börjar utnyttja den. Förr gav det dig tid att patcha. Nu hinner du knappt ta en kopp kaffe.
Det osynliga problemet ingen pratar om
Låt mig måla upp en bild. Det är Patch Tuesday (eller vilken dag Microsoft nu väljer att släppa sin månatliga bunt). Du öppnar din hanteringskonsol och ser 50 uppdateringar som väntar. Kanske 100. Kanske fler. Vad är din strategi?
Om du är som de flesta småföretag börjar du troligen med de kritiska, arbetar dig nedåt och hoppas på det bästa. Kanske ställer du in allt på automatisk uppdatering och anser saken avgjord.
Här är problemet med det tillvägagångssättet: kritisk betyder inte "kommer absolut skada dig" och viktig betyder inte "spelar ingen roll".
En DNS-svaghet i Windows Server är förödande om du kör Windows Server. Helt irrelevant om du inte gör det. Men om du inte vet om du kör någon Windows Server alls – och låt oss vara ärliga, hur många småföretagare kan svara på det utan att kontrollera – då spelar du i praktiken säkerhetswhack-a-mole med förbundna ögon.
De flesta småföretag jag pratar med har ingen tillförlitlig förteckning över vad de faktiskt äger. Hur många bärbara datorer är i omlopp just nu? Vilka får fortfarande säkerhetsuppdateringar och vilka kör operativsystem som inte längre stöds sedan 2017? Vilken serverprogramvara körs, och när rördes den senast? Finns det gamla smartphones som fortfarande har tillgång till företagets e-post?
När patchvolymerna var hanterbara var ungefärlig täckning möjlig att överleva. Du kunde klara dig med lite gissning för att siffrorna var små nog att generellt sett hålla dig à jour.
Med tusen åtgärder i månaden slutar gissningen att fungera. Du kan inte prioritera en höstack du aldrig har mätt.
Inventarielistan ingen vill prata om
Här är den tråkiga lösningen på hela det här röran: gör en lista.
Jag vet, jag vet. Det är inte precis cybersäkerhetens motsvarighet till hjältemantel. Men lyssna.
En tillgångsförteckning låter tråkig tills du inser vad den gör för dig. Den förvandlar ett oöverkomligt antal (974 patchar denna månad!) till ett hanterbart fåtal (tre patchar som faktiskt gäller din setup). Den gör varje annan säkerhetsbeslut billigare eftersom du inte längre gissar.
Du behöver inget fancy verktyg för detta. Börja enkelt. Vilka enheter ansluter till ditt nätverk? Vilken programvara körs på dem? Vad används faktiskt kontra vad som bara installerades och glömdes bort? När jag säger "enkelt" menar jag det. Ett kalkylblad fungerar. En dokumenterad rond genom kontoret fungerar. Det som spelar roll är att du faktiskt gör det – och att du uppdaterar det när något förändras.
De företag som kommer att hantera denna nya verklighet bra är inte de som patchar snabbast. De är de som kan besvara en grundläggande fråga: Vad kör vi, och var finns det?
Dina AI-verktyg är en del av din attackyta nu
Något du antagligen inte har tänkt på: dina AI-assistenter är programvara. Programvara har brister. Brister kan utnyttjas.
Tänk på vad några av dessa verktyg kan få tillgång till. En copilot med tillgång till din inkorg, dina filer, din kunddatabas – det är en helt annan riskprofil än ett kalkylprogram. Dessa verktyg kan läsa dina mejl, skriva svar åt dig och allt oftare vidta åtgärder baserat på vad de hittar.
Småföretag har tagit till sig AI-verktyg nästan organiskt. Någon installerade en användbar webbläsartillägg. Någon kopplade en mötesantecknare till företagskalendern. Någon gav en assistent tillgång till den delade enheten för att spara en eftermiddags arbete.
Varje enda ett av dessa beslut var fullständigt förnuftigt i stunden.
Det som halkade efter var dokumentationen av att det hände. Fråga de flesta företagsägare vilka AI-verktyg som används i deras företag och vilken data dessa verktyg faktiskt kan nå – och du får en eftertänksam paus.
Det är shadow AI, och det är en synlighetslucka med ditt namn på den.
Lösningen är inte att panika och förbjuda AI-verktyg – en del av dem är genuint användbara och dina konkurrenter använder dem antagligen ändå. Lösningen är att lägga till dem i det tråkiga kalkylbladet vi pratade om. Vilka verktyg är kopplade till vad? Vad kan de se?
Vad detta betyder för dig
Låt mig sammanfatta det hela med något praktiskt.
Patchfloden försvinner inte. AI-assisterad sårbarhetsupptäckt är här för att stanna, och det är mestadels goda nyheter – fler hål stängs än någonsin tidigare. Men det förändrar spelet för hur småföretag måste närma sig säkerhet.
Du kan inte patcha dig igenom detta genom volym. Du kan inte läsa varje säkerhetsbulletin och fatta välgrundade beslut om alla. Det finns inte tillräckligt med timmar på dagen, och ärligt talat är de flesta av oss inte säkerhetsforskare.
Det du kan göra är att ta inventering på allvar. Bygg den där tillgångsförteckningen. Den behöver inte vara fancy. Den behöver bara existera.
När du väl vet vad du kör blir den där floden av patchar plötsligt en betydligt hanterbarare ström. Du kan ignorera sårbarheterna som inte gäller dig och faktiskt fokusera på de som gör det.
Du kan inte patcha det du inte kan se. Det är det äldsta rådet i cybersäkerhet, och på något sätt har det aldrig varit mer relevant än just nu.
Höstackarna växer. Det betyder att insatserna för att veta var dina nålar finns aldrig har varit högre.
Taggar: ['<think>\nthe user wants 3-5 comma separated lowercase tags for this blog post. title: "your business', 'vulnerability management', 'patch prioritization', 'business risk', 'critical patches. must be 3-5 tags. provide them. ensure they are lowercase. provide tags only. no o', 'patching', 'critical', 'important rating', 'business', 'prioritization. so we can produce tags like:\n\n- cybersecurity\n- vulnerability management\n- patch pri', 'critical vulnerabilities', 'business risk". ensure lowercase and comma separated', 'no extra whitespace at ends. should we include hyphens? lowercase fine. probably okay.\n\nbut maybe th', 'business risk".\n</think>\n\ncybersecurity']