ב- 8 בספטמבר 2026 פרסמה מיקרוסופט את עדכון האבטחה הגדול ביותר בתולדותיה. ה- Patch Tuesday של החודש כלל תיקונים ל- 966 חולשות אבטחה, מהן שתיים שכבר נוצלו בפועל בתקיפות סייבר עוד לפני שהטלאי היה זמין. לשם השוואה, ביולי תוקנו 570 חולשות ובאוגוסט 400. המספר הזה אינו כולל 204 חולשות נוספות שמיקרוסופט תיקנה מוקדם יותר באותו חודש ברכיבי ענן ושירותים, בהם Entra ID, Copilot Studio, Azure Cosmos DB, Microsoft Fabric, Power Automate ודפדפן Edge.
מה בדיוק תוקן
מתוך 966 החולשות, 105 סווגו כקריטיות — 81 מהן מאפשרות הרצת קוד מרחוק. בפילוח לפי סוג: 438 חולשות הסלמת הרשאות, 258 הרצת קוד מרחוק, 173 חשיפת מידע, 56 מניעת שירות, 19 עקיפת מנגנוני אבטחה ו- 16 התחזות.
מיקרוסופט עצמה מקשרת את קפיצת הנפח למערכת מבוססת בינה מלאכותית שהחלה להשתמש בה לגילוי חולשות במוצריה. זו נקודה שחשוב להדגיש: כמות החולשות אשר מתגלות, גדלה כעת בקצב שאינו תלוי כלל ביכולת הקליטה של צוותי ה- IT שאמורים להתקין את התיקונים.
שתי החולשות שכבר נוצלו
שתי חולשות יום-אפס של החודש שייכות לאותה משפחה — הסלמת הרשאות מקומית. הראשונה, CVE-2026-81963, נמצאת ברכיב Windows Update Stack ונובעת מטיפול שגוי בקישורי קבצים. השנייה, CVE-2026-85880, היא גלישת חוצץ ברכיב ALPC של Windows. שתיהן מאפשרות לתוקף בעל הרשאות מוגבלות להגיע להרשאות SYSTEM, כלומר לשליטה מלאה במחשב.
חשוב להבין מה זה אומר בפועל. חולשה מסוג זה אינה מכניסה את התוקף לארגון. היא הצעד השני. התוקף כבר נמצא בפנים — דרך קובץ נגוע, סיסמה גנובה או שירות פגיע — עם דריסת רגל מוגבלת בלבד. החולשה הזו הופכת את הדריסה המוגבלת לשליטה מלאה. מכאן הדרך לשאר הרשת קצרה. העובדה ששתי החולשות נוצלו כבר לפני פרסום הטלאי מלמדת שהתוקפים כבר עמדו בשלב הזה אצל מישהו. מיקרוסופט לא פרסמה פרטים על אופן הניצול של אף אחת מהשתיים.
לא רק מיקרוסופט
באותו שבוע פרסמו טלאים או התרעות גם יצרנים מרכזיים אחרים. Adobe תיקנה חולשת יום אפס בחומרה מרבית ב- Adobe Commerce שנוצלה להשתלת דלת אחורית באתרים. Google תיקנה חולשת יום אפס מנוצלת במנוע V8 של Chrome. SAP פרסמה תיקון לחולשה בחומרה מרבית בליבת המערכת. לצדן פרסמו עדכונים N-able, ConnectWise, MikroTik, HPE, SonicWall, Cisco ו- Plex. שבוע אחד, אחד עשרה יצרנים.
הסיכון לארגון
הסיכון המרכזי כאן אינו חולשה מסוימת אלא הפער שבין רגע פרסום הטלאי לרגע התקנתו בפועל. מרגע הפרסום הופכים פרטי החולשה לציבוריים, כך שכל מי שטרם עדכן נמצא במרוץ מול תוקפים שקוראים את אותו מסמך בדיוק.
הנפח מייצר סיכון בפני עצמו. אף צוות אינו יכול לקרוא 966 תיאורי חולשות ולהחליט לגבי כל אחת מהן. בלי קריטריון תיעדוף ברור נוטים ארגונים לאחת משתי טעויות — דחיית העדכון כולו למועד לא מוגדר, או התקנה גורפת ללא בדיקה שעלולה להפיל מערכות ייצור. שתי החולשות המנוצלות ממחישות את המחיר: תוקף שכבר השיג דריסת רגל קטנה בארגון לא מעודכן מקבל שליטה מלאה בתחנה. משם הוא ממשיך לשרתים, לגיבויים ולמידע.
הזווית של 010
זה בדיוק המקום שבו שירות עדכוני תוכנה ואבטחה מנוהל מייצר ערך. לא "מישהו לוחץ עדכן", אלא תהליך מסודר: מלאי מדויק של המוצרים והגרסאות שהארגון באמת מפעיל, מדיניות תיעדוף שמעלה לראש הרשימה את החולשות שכבר מנוצלות בשטח ואת המערכות החשופות לאינטרנט, חלון התקנה מתוכנן ואימות בדיעבד שהטלאי אכן נחת בכל התחנות.
התיעדוף הזה נשען על שני שירותים נוספים. סקר סיכונים קובע מה בכלל יש לארגון — מתוך 966 החולשות רלוונטיות רק אלו שנוגעות למוצרים שנמצאים בשימוש. בלי מלאי מעודכן אי אפשר לדעת אילו מהן. מודיעין סייבר עונה על השאלה המבצעית: איזו מהחולשות מנוצלת ברגע זה בשטח, מה עוד יצא באותו שבוע מיצרנים אחרים, מה מחייב טיפול חירום לעומת מחזור עדכונים רגיל.
בפער שבין הפרסום להתקנה נכנס לתמונה SIEM/SOC. כשהטלאי עדיין לא הותקן, הזיהוי הוא בקרת הפיצוי היחידה. שתי חולשות היום-אפס של החודש הן הסלמת הרשאות — התנהגות שניתן לזהות: תהליך שמתחיל לרוץ בהרשאות SYSTEM ללא הצדקה, שירות שמשנה הרשאות באופן חריג, פעילות לא אופיינית על תחנת קצה רגילה.
לבסוף, הסלמת הרשאות ל- SYSTEM היא השלב הקבוע שלפני הצפנה. הגנה אקטיבית מכופר וגיבוי והמשכיות עסקית הם מה שקובע אם אירוע כזה נעצר בתחנה אחת או הופך לאירוע ארגוני.
למקור הידיעה ולקריאה נוספת לחצו כאן
