מיקרוסופט פרסמה אתמול את עדכוני האבטחה החודשיים שלה לנובמבר (Patch Tuesday), ולפי BleepingComputer מדובר בשיא: 1,235 חולשות שתוקנו, בלי לספור 108 חולשות נוספות שתוקנו מוקדם יותר החודש. בין החולשות נמצאת חולשת יום אפס (Zero-Day) ב-Microsoft Outlook שכבר מנוצלת בפועל בידי תוקפים.
השיא הזה לא נולד בחלל ריק. באוקטובר תיקנה מיקרוסופט יותר מ-1,400 חולשות, ובספטמבר כ-970. רק לפני שנה, עדכון חודשי של כמה עשרות חולשות היה נורמלי. חלק מההסבר לקפיצה הוא כלי בינה מלאכותית שסורקים קוד ומוצאים חולשות בקצב שבני אדם לא יכלו להגיע אליו, הן אצל חוקרים ומגינים והן אצל החברות עצמן.
זה נשמע כמו חדשות טובות, ובמידה מסוימת זה נכון: כל חולשה שמתוקנת היא חולשה שתוקף לא ינצל. אבל לצוותי ה-IT בארגונים זה סיוט. עדכון של יותר מאלף חולשות דורש בדיקות, תיעדוף והפעלה מחדש של מערכות, ורוב הארגונים לא מסוגלים לבדוק כל תיקון לעומק. התוצאה היא שארגונים רבים מתקינים באיחור, או בלי לבדוק, ושני המצבים מסוכנים.
באותו שבוע מנוצלות גם חולשות אחרות: Ivanti תיקנה בתחילת החודש שתי חולשות ב-Connect Secure ששורשרו במתקפות יום אפס מאז תחילת אוקטובר, גוגל תיקנה את חולשת יום האפס השמינית שנוצלה השנה בכרום, ותוקפים מנצלים חולשה במערכת ניהול הווירטואליזציה Xen Orchestra. הקצב שבו חולשות עוברות מגילוי לניצול מתקצר, והחלון שבו אפשר להספיק לעדכן קטן.
מה עושים? משתמשים פרטיים: לוודא שהעדכונים האוטומטיים של Windows ושל Office פעילים, ולהפעיל מחדש את המחשב כשמתבקשים. ארגונים: לתעדף קודם את החולשות שכבר מנוצלות, ובראשן אאוטלוק, ורק אחר כך את השאר. ומי שעדיין מנהל עדכונים פעם ברבעון, צריך להבין שבעולם שבו AI מוצא אלף חולשות בחודש, הקצב הזה כבר לא מספיק.
