עדכון האבטחה הענק של מיקרוסופט: הסימן הראשון לעידן הסייבר בקצב מכונה

עדכון יולי 2026: יוני לא היה אירוע חד־פעמי

ב־14 ביולי פרסמה מיקרוסופט מחזור עדכונים גדול עוד יותר. עמוד יולי החי של MSRC מציג כעת 622 חולשות CVE של מיקרוסופט בכלל משפחות המוצרים. יום לאחר מכן, PCMag הגדירה את העדכון בכותרת שלה כ־“Microsoft’s Biggest Bug-Fix Patch in Years” וציטטה ספירה מוקדמת של 570 ליקויים בעדכון ווינדוס — כמעט פי שלושה מהספירה שבה השתמשה לגבי יוני.

שני המספרים אינם סותרים, אבל גם אינם בני השוואה ישירה. 622 הוא היקף מחזור ה־CVE הרחב של מיקרוסופט לפי MSRC; 570 הוא מספר מוקדם ש־PCMag ציטטה מדיווח משני על ליקויים בעדכון ווינדוס. בטבלת משפחות המוצרים של MSRC מופיעות כרגע 416 חולשות תחת Windows, ובנפרד מצוינים 428 מזהי CVE של Chromium שאינם של מיקרוסופט ופורסמו מחדש. ההבדל נובע מהיקף, קיבוץ, מוצרי יעד ועדכונים מאוחרים לנתונים.

למה חשוב להסביר את שיטת הספירה

במחזורי עדכונים גדולים, מספר אחד יכול לספור מזהי CVE ייחודיים, מספר אחר יכול לקבץ תיקונים לפי רכיב או מוצר, ומספר שלישי יכול להשתנות אחרי שהיצרן מוסיף פריט שנשמט או מתקן סיווג. לכן הכותרת “570” שימושית כדי להבין את קנה המידה, אבל מקור האמת התפעולי הוא הרשומה החיה של היצרן לכל מוצר ולכל CVE.

למנהלי מערכות ואבטחה יש כאן כלל פשוט: לא לבנות סדר עדיפויות לפי המספר הכולל. צריך לבדוק מה מנוצל בפועל, מה חשוף לרשת, מה נוגע בזהויות או בנתונים קריטיים, ומה השתנה מאז הסיכום הראשון שפורסם ביום העדכון.

מה מנוצל בפועל נכון ל־15 ביולי 2026

עמוד MSRC החי מסמן כעת שלוש חולשות בסטטוס Exploitation Detected: ‏CVE-2026-56155 להעלאת הרשאות ב־AD FS, ‏CVE-2026-56164 להעלאת הרשאות ב־SharePoint, ו־CVE-2026-58644 הקריטית להרצת קוד מרחוק ב־SharePoint. בנוסף, CVE-2026-50661 לעקיפת ביטלוקר מסומנת כידועה פומבית, אך לא כמנוצלת בפועל.

העדכון של CVE-2026-58644 ממחיש למה זהו אירוע מתמשך: מיקרוסופט כתבה שהתיקון שוחרר כבר ביוני אך ה־CVE נשמט בטעות מרשימת יוני, וב־15 ביולי תיקנה גם את דגל הניצול ואת וקטור ה־CVSS. כלומר, הסיכום של יום שלישי הוא תמונת פתיחה — לא סוף הבדיקה.

מה באמת השתנה: חולשות בקצב מכונה

עד היום, גילוי חולשות אבטחה נשען בעיקר על חוקרי אבטחה, צוותי תקיפה מבוקרת, בדיקות קוד, סריקות אוטומטיות וכלי ניתוח סטטיים. זה עבד, אבל זה היה מוגבל בכוח אדם, זמן ותיעדוף.

ב־2026 התמונה כבר אחרת. מודלים מתקדמים יכולים לקרוא קוד, להבין זרימות לוגיות, לבדוק מסלולי תקיפה, לזהות תנאי קצה, להציע תיקונים ובחלק מהמקרים גם להרכיב שרשרת ניצול. זה לא מחליף חוקר אבטחה טוב, אבל זה מגדיל דרמטית את כמות החולשות שאפשר למצוא בזמן קצר.

במאי 2026 חשפה מיקרוסופט את מערכת MDASH לגילוי חולשות בעזרת בינה מלאכותית, וב־9 ביולי הסבירה שקצב גילוי החולשות משתנה מפני שבינה מלאכותית מאפשרת למצוא ולנתח יותר בעיות, מהר יותר ועל פני יותר קוד. במילים פשוטות: אנחנו לא בהכרח רואים תוכנה גרועה יותר. אנחנו רואים יותר יכולת למצוא את מה שכבר היה שם — וגם פחות זמן בין גילוי לניסיון ניצול.

איפה קלוד מיתוס נכנס לתמונה

באפריל 2026 אנת׳רופיק הציגה את פרויקט גלאסווינג ואת קלוד מיתוס, מודל מתקדם למחקר חולשות ואבטחת תוכנה. לפי אנת׳רופיק, מיתוס כבר מצא אלפי חולשות ברמת חומרה גבוהה, כולל חולשות במערכות הפעלה ודפדפנים מרכזיים.

בעדכון הראשוני של גלאסווינג, אנת׳רופיק דיברה על יותר מ־10,000 חולשות ברמת חומרה גבוהה או קריטית שנמצאו יחד עם כ־50 שותפים. זו ספירה מצטברת שחלק ממנה עדיין עובר אימות וגילוי מתואם, אבל היא ממחישה את השינוי: הבעיה אינה רק למצוא חולשות, אלא לעבור על הממצאים, לאמת אותם, לדווח עליהם בצורה אחראית ולשחרר תיקונים מספיק מהר.

הנקודה החשובה היא לא להפוך את מיתוס לקסם או לקונספירציה. אין מידע פומבי שמוכיח שכל חולשה בעדכון יוני של מיקרוסופט נמצאה על ידי קלוד מיתוס. הניסוח המקצועי יותר הוא שמיתוס הוא חלק מגל רחב של גילוי חולשות בעזרת בינה מלאכותית, לצד סריקות פנימיות, חוקרים חיצוניים, אוטומציה ותהליכי חשיפה מתואמת.

MDASH: מערכת ציד החולשות של מיקרוסופט

החוליה שחסרה בתמונה המקורית היא MDASH — מערכת רב־מודלית סוכנית שמיקרוסופט מפעילה למחקר חולשות. לפי הפרסום הטכני הרשמי של מיקרוסופט, המערכת מתזמרת יותר מ־100 סוכנים מתמחים ומספר מודלים: סוכנים שסורקים קוד, סוכנים שמנסים להפריך את הממצא, שלב איחוד כפילויות ושלב שמנסה להוכיח שהחולשה ניתנת להפעלה.

מיקרוסופט דיווחה ש־MDASH סייעה למצוא 16 חולשות במערכי הרשת והאימות של ווינדוס, ובהן ארבע חולשות קריטיות להרצת קוד מרחוק. זה חיזוק ישיר לתזה של המאמר: לא מודל יחיד הוא הסיפור, אלא מערכת גילוי, אימות והוכחה שפועלת בקצב מכונה.

הקשר למיקרוסופט: שינוי תעשייתי גלוי

מיקרוסופט מופיעה בין השותפות של פרויקט גלאסווינג. אנת׳רופיק מצטטת את איגור ציגנסקי ממיקרוסופט, שמציג את הגישה לקלוד מיתוס כדרך לזהות ולצמצם סיכונים מוקדם יותר ולחזק פתרונות אבטחה ופיתוח.

אבל הסיפור הגדול יותר הוא השינוי התעשייתי. מיקרוסופט מתארת שימוש במערכות סריקה מבוססות בינה מלאכותית, תהליכי תיעדוף חכמים, אוטומציה וחוקרים אנושיים. כלומר, עולם ההגנה לא נשען על מודל אחד. הוא בונה מערכת שלמה למציאת חולשות, אימות שלהן, תיעדוף שלהן ותיקון שלהן.

זה מתחבר ישירות לשירותי אבטחת סוכני AI: ברגע שמכניסים בינה מלאכותית לעומק תהליכי אבטחה, צריך גם גבולות, הרשאות, לוגים, אימות אנושי ותיעוד מלא.

למה עדכון יוני 2026 היה כל כך חריג

בעת פרסום המאמר, קראודסטרייק ספרה 206 חולשות במחזור יוני, ובהן שלוש חולשות יום־אפס שנחשפו בפומבי. עמוד יוני החי של MSRC מציג כעת 219 חולשות CVE של מיקרוסופט לאחר תיקונים ותוספות לרשומה. שתי הספירות מאשרות שמדובר ביותר מ־200 חולשות, אבל 206 הוא צילום מצב היסטורי ולא מספר סופי שקפא ביום הפרסום.

הדיווחים כללו רכיבים כמו ווינדוס, Hyper-V, ביטלוקר, שרתי אקסצ׳יינג׳, קופיילוט של מיקרוסופט ורכיבי מערכת נוספים. ביום Patch Tuesday סומנו שלוש חולשות כידועות פומבית, וב־16 ביוני נוספה לרשומה גם חולשת Microsoft Defender. ברישום יוני המעודכן יש אפוא ארבע חולשות פומביות, אך אף אחת מהן אינה מסומנת ב־MSRC כניצול שזוהה בפועל. חשיפה פומבית אינה זהה לניצול פעיל.

המספר עצמו חשוב, אבל הוא לא הסיפור היחיד. הסיפור הוא עומס התפעול שנופל על צוותי מערכות מידע ואבטחת מידע: להבין מה באמת חשוף, מה קריטי לעסק, מה מנוצל בפועל, מה דורש בדיקות תאימות ומה אפשר לדחות.

שלוש דוגמאות טכניות שמסבירות למה זה חשוב

כדי להבין את העומק של עדכון כזה, לא מספיק להגיד “206 חולשות”. צריך להסתכל על סוגי הפגיעות. בעדכון יוני הופיעו כמה דוגמאות שמראות למה מנהל אבטחה לא יכול להתייחס לכל עדכון באותה צורה.

חולשת הרשאות ב־CTFMON של ווינדוס: ‏CVE-2026-45586 פגעה ברכיב שאחראי על שירותי קלט, שפה וזיהוי כתיבה. חולשת link-following יכלה לאפשר לתוקף מקומי עם הרשאות נמוכות להעלות הרשאות עד לרמת SYSTEM. מבחינת ארגון, זו חולשה שמסוכנת במיוחד אחרי חדירה ראשונית: היא יכולה להפוך משתמש מוגבל לנקודת אחיזה חזקה בהרבה.

מעקף אבטחה בביטלוקר: ‏CVE-2026-50507 דרשה גישה פיזית, ולכן היא אינה פריצה מרחוק. היא הדגימה סיכון מסוג אחר: עקיפה של שכבת הצפנה שאמורה להגן על מידע בדיסק. בארגונים עם מחשבים ניידים, עובדים בשטח או ציוד שנשלח בין אתרים, חולשה כזאת נכנסת ישירות לשאלות של הצפנת קצה, מדיניות נעילה ותגובה לאובדן ציוד.

HTTP.sys וקרנל ווינדוס: ‏CVE-2026-49160 הייתה חולשת מניעת שירות ב־HTTP/2, לא חולשת הרצת קוד מרחוק. היא עדיין חשובה כי HTTP.sys מטפל בתעבורת HTTP/HTTPS ברמת מערכת ההפעלה ומשמש שירותי ווב שונים. אם שרת חשוף לאינטרנט משתמש ברכיב פגיע, התיעדוף שלו צריך להיות גבוה יותר ממערכת פנימית לא חשופה.

הבעיה החדשה: למצוא נהיה קל יותר. לתקן עדיין קשה

כאן נמצאת נקודת המפנה. אם בינה מלאכותית עוזרת למצוא יותר חולשות, הבעיה הבאה היא לא רק גילוי. הבעיה היא אימות, תיעדוף, תיקון, בדיקות רגרסיה, פריסה, יכולת חזרה אחורה וניהול ספקים.

ארגון יכול למצוא היום הרבה יותר בעיות ממה שהוא מסוגל לתקן באותו שבוע. לכן צוותי אבטחה צריכים להפסיק למדוד הצלחה רק לפי כמות ממצאים. השאלה האמיתית היא כמה מהר הארגון מקטין חשיפה אמיתית במערכות שחשובות לעסק.

זה גם המקום שבו בדיקות הזרקת פרומפטים ואבטחת סוכנים מתחברות לסייבר הקלאסי. סוכן בינה מלאכותית שמחובר לקוד, לשרתים, לענן או למערכת ניהול לקוחות הוא כבר משטח תקיפה. צריך לבדוק אותו כמו מערכת פרודקשן, לא כמו צעצוע.

איך לפרוס את עדכון יולי בלי להחליף סיכון אבטחה בתקלה תפעולית

בווינדוס 11 בגרסאות 24H2 ו־25H2, העדכון המצטבר המרכזי הוא KB5101650. הוא כולל את תיקוני האבטחה של יולי, תיקוני איכות לבעיות שנראו אחרי יוני ושינויי הקשחה. עם זאת, דף העדכון מציין חסימת הפצה זמנית למספר מוגבל של מחשבי Dell עם מעבדי Intel בגלל אי־תאימות שעלולה לגרום לכיבוי פתאומי, ירידת ביצועים, התחממות וצריכת סוללה. אין לעקוף את החסימה בכוח לפני שמיקרוסופט ו־Dell מפרסמות פתרון.

העדכון גם מקשיח רישום של תעבורת TDI, ולכן תוכנות רשת ישנות שמשתמשות בתעבורה של צד שלישי שאינה רשומה עלולות להפסיק לעבוד. במקביל נוספה תמיכה בטביעות אצבע SHA‑2 למפרסמי RDP מהימנים, בעוד SHA‑1 נשאר רק לתאימות וצפוי לצאת משימוש. אלה בדיוק המצבים שבהם טבעת פיילוט קטנה, בדיקת אפליקציות קריטיות ויכולת חזרה לאחור חוסכות אירוע תפעולי.

גם החלפת תעודות Secure Boot שהחלו לפוג ביוני עדיין נפרסת בהדרגה. מחשב שעדיין לא קיבל את התעודות החדשות אמור להמשיך לעלות ולקבל עדכונים רגילים; אין סיבה לבטל Secure Boot מראש. כן צריך לוודא שמחשבים נתמכים נשארים מחוברים למסלול עדכונים תקין ולעקוב אחרי סטטוס ההפצה.

מה זה אומר לארגונים בישראל

בישראל, הרבה עסקים עדיין מנהלים עדכוני אבטחה בצורה תגובתית: כשיש זמן, כשמשהו נשבר, או אחרי התרעה חריגה. בעידן של בינה מלאכותית זה מסוכן יותר. החלון בין גילוי חולשה לבין ניצול אפשרי מתקצר, והפער בין ארגון מסודר לארגון שמאלתר גדל.

מערכות חשופות לאינטרנט, שרתי אקסצ׳יינג׳, שירותי VPN, מערכות זהות, שירותי ענן, קוד פנימי וספקי תוכנה חיצוניים צריכים לקבל תיעדוף אחר. לא כל חולשת אבטחה שווה אותו דבר. חולשה במערכת לא חשופה אינה דומה לחולשה בשער כניסה לארגון.

זה בדיוק ההבדל בין “יש לנו אנטי-וירוס” לבין ניהול אבטחה מודרני: נכסים, חשיפה, זהויות, הרשאות, סגמנטציה, ניטור, גיבויים, בדיקות שחזור ותהליך תיקון עם אחריות ברורה.

מה ארגון צריך לעשות עכשיו

הצעד הראשון הוא לבדוק מיד אם הארגון מפעיל SharePoint מקומי או AD FS בגרסאות שמושפעות מהחולשות שמיקרוסופט מסמנת כניצול פעיל. מערכות כאלה, ובמיוחד כשהן חשופות לרשת או קשורות לזהויות, צריכות מסלול תיקון דחוף עם גיבוי, בדיקת תקינות וניטור אחרי הפריסה.

הצעד השני הוא לבנות תיעדוף לפי חשיפה אמיתית: מה מחובר לאינטרנט, מה מכיל מידע רגיש, מה נוגע בזהויות, מה תלוי בספק חיצוני ומה יכול לעצור פעילות עסקית. בצי תחנות הקצה צריך לזהות גרסאות ווינדוס שאינן נתמכות, לכבד חסימות תאימות כמו זו של Dell, ולהעביר את שאר המחשבים מפיילוט לפריסה מואצת במקום להשאיר את העדכון בהשהיה כללית.

הצעד השלישי הוא להכניס בינה מלאכותית גם לצד ההגנה, אבל בצורה מבוקרת. כלים חכמים יכולים לעזור בסריקת קוד, ניתוח לוגים, סיכום ממצאים ותיעדוף, אבל אסור לתת להם גישה חופשית בלי הרשאות מינימום, תיעוד פעולות ואישור אנושי לפעולות רגישות.

בדיקה רצינית של סוכן AI עם גישה לשרתים, קוד או נתונים צריכה לכלול לפחות כמה שכבות: הרצה בסביבה מבודדת לפני פרודקשן, חשבון שירות ייעודי ולא משתמש מנהל, הגבלת פקודות וכלים, תיעוד מלא של כל פעולה, בדיקה שהסוכן לא מוציא סודות ללוגים או לצ׳אט, מנגנון עצירה מהיר, והרצת תרחישי תקיפה כמו הוראה זדונית מתוך קובץ, תגובת מודל שגויה או ניסיון לבצע פעולה מחוץ להרשאה.

מי שמנהל היום תשתית עסקית צריך להתייחס לבינה מלאכותית כחלק ממערך הסיכון, לא רק ככלי עבודה. סוכנים שמקבלים גישה לקוד, מסמכים, הרשאות, מערכות פנימיות או נתוני לקוחות צריכים להיכנס לאותו מודל בקרה כמו כל רכיב רגיש אחר: בעלות ברורה, הרשאות מינימום, רישום פעולות, הפרדה בין סביבות, בדיקות שחזור ותהליך עצירה במקרה של התנהגות חריגה.