הזמן שעובר בין פרסום פגיעות לבין ניצולה בפועל מתקצר, ורגולטורים של אבטחת מידע מתחילים לשנות בהתאם את לוחות הזמנים להתקנת עדכונים. סוכנות הסייבר האמריקאית CISA כבר כותבת במפורש ששימוש של תוקפים ב-AI עשוי לקצר את החלון הזה עוד יותר.
CISA: תעדוף לפי סיכון במקום לוח אחיד
ב-10 ביוני פרסמה CISA את ההנחיה המחייבת BOD 26-04, שכותרתה תעדוף עדכוני אבטחה לפי סיכון. ההנחיה חלה על הסוכנויות הפדרליות האזרחיות בארה"ב, ומבטלת שתי הנחיות קודמות, BOD 19-02 ו-BOD 22-01.
דחיפות התיקון נקבעת לפי ארבעה גורמים: האם הנכס חשוף לאינטרנט, האם הפגיעות מופיעה בקטלוג הפגיעויות המנוצלות (KEV), האם תוקף יכול לבצע את כל שלבי הניצול באופן אוטומטי, ועד כמה השליטה שהוא משיג מלאה. CISA מציינת בהנחיה שהשימוש של יריבים ב-AI עשוי לקצר עוד את הפער בין פרסום עדכון לבין ניצול הפגיעות.
בהנחיות היישום מופיעה דוגמה: פגיעות בנכס חשוף, שניתנת לניצול אוטומטי ומעניקה שליטה מלאה, מקבלת מועד תיקון של שלושה ימים. הלוחות נמדדים בימים קלנדריים, והם מתחילים מהמוקדם מבין שני מועדים: הוספת הפגיעות לקטלוג או זיהויה בידי הסוכנות. לצד זה CISA ממליצה, כנוהג מומלץ ולא כחובה, לסיים מיפוי ראשוני בתוך שעתיים מהוספת פגיעות לקטלוג ולקבל החלטה על הסלמה בתוך 48 עד 72 שעות.
מה המספרים מראים
Zero Day Clock, מצפה עצמאי שעוקב אחרי פרסום פגיעויות וניצולן, מדווח שבמחצית הראשונה של 2026 פורסמו 35,849 פגיעויות. 491 מהן נוספו לרשימות של פגיעויות מנוצלות, ו-141 כבר נוצלו ביום פרסומן. האתר מסייג שתאריך הרישום ברשימה אינו בהכרח המועד שבו הניצול התחיל, ובוחר בכוונה לא לפרסם מדד ממוצע של "זמן עד ניצול". בקריאה לפעולה שפרסם נטען שניצול חציוני מגיע כיום "בתוך שעות", ושמחזורי עדכון חודשיים כבר לא מספיקים.
בישראל: סריקות AI ועדכון חודשי גדול במיוחד
ב-30 ביוני פרסם מערך הסייבר הלאומי התרעה על עלייה משמעותית בסריקות של אתרים בישראל באמצעות כלי AI. לפי המערך, ייתכן שחלק מהסריקות נועדו לאסוף מידע מקדים על הטכנולוגיות והרכיבים באתרים ולזהות פגיעויות שאפשר לנצל.
ב-16 ביולי פרסם המערך התרעה על עדכון האבטחה של מיקרוסופט לחודש יולי: כ-671 עדכונים לפגיעויות בתוכנות נתמכות, ועוד כ-427 בדפדפן Edge. לפי ההתרעה, שתי פגיעויות כבר מנוצלות בפועל בעולם, 66 מסווגות כקריטיות ו-48 מוגדרות כבעלות סיכוי גבוה לניצול.
המשמעות למשרדי עורכי דין
משרד עורכי דין מחזיק מידע חסוי של לקוחות, ולכן קצב התקנת העדכונים הוא חלק מחובת השמירה עליו, ולא רק עניין של מחלקת המחשוב. על התרעת FLASH של ה-FBI בנוגע לתקיפות של משרדי עורכי דין דיווחנו כאן במאי. מודל התעדוף של CISA מציע דרך פשוטה לחשוב על זה: מה חשוף לאינטרנט, מה כבר מנוצל, ומה ניתן לניצול אוטומטי. את אלה מתקנים קודם. אותה שאלה רלוונטית גם בהסכמים עם ספקי תוכנה וענן, שבהם כדאי לבדוק תוך כמה זמן הספק מתחייב להתקין עדכונים קריטיים.