עדכון Windows לא מספיק: מי עדיין מנהל מקומי במחשבי העסק?

במשרד עם 20 עובדים, מספיק מחשב אחד שלא קיבל עדכון כדי להשאיר בעיה פתוחה. אם המשתמש באותו מחשב עובד גם עם הרשאות מנהל מקומי, תקלה נקודתית עלולה לקבל הרבה יותר כוח ממה שנדרש לעבודה היומיומית.

ב-11 באוגוסט 2026 נוספה לקטלוג החולשות המנוצלות של CISA חולשה ברכיב Windows Ancillary Function Driver for WinSock. זהו רכיב מערכת שמטפל בחלק מתקשורת הרשת של Windows. לפי הפרסום, תוקף שכבר מחזיק בגישה מקומית מורשית יכול לנצל את החולשה כדי להעלות הרשאות. לעסק קטן, זו תזכורת מעשית לבדוק שני דברים יחד: קצב העדכונים ומי עובד כמנהל מקומי.

למה עדכון Windows והרשאות מנהל הם אותה שיחה

העלאת הרשאות פירושה מעבר מחשבון מוגבל לחשבון שמסוגל לבצע פעולות רגישות יותר במחשב. החולשה אינה אומרת שכל מחשב Windows פתוח להשתלטות מרחוק. היא כן מדגימה למה שכבות ההגנה תלויות זו בזו: עדכון סוגר את החולשה, וחשבון משתמש מוגבל מצמצם את הנזק האפשרי אם קוד זדוני כבר רץ בתחנה.

הרשאת מנהל מקומי מאפשרת להתקין תוכנות, לשנות הגדרות מערכת ולעיתים להשבית כלי אבטחה. הרבה עסקים משאירים אותה לעובד כי פעם היה צריך להתקין מדפסת, ואז ההרשאה נשארת שלוש שנים. המדפסת כבר הוחלפה; ההרשאה, כדרכן של הרשאות, מרגישה בבית.

אפשר לעקוב אחרי חולשות שנמצאות בניצול פעיל דרך קטלוג KEV של CISA. פרטי החולשה הספציפית מופיעים גם ב-רשומת NVD עבור CVE-2026-68820. הרשימה אינה תחליף לניהול עדכונים, אבל היא עוזרת להחליט מה דחוף יותר.

בדיקה של שעה, בלי פרויקט תשתיות

התחילו מרשימה של מחשבי Windows פעילים, כולל מחשבים ניידים שנמצאים רוב השבוע בבית. ליד כל מחשב רשמו בעלים עסקי, גרסת Windows, מועד העדכון האחרון והאם המשתמש הוא מנהל מקומי. אם אין רשימה כזאת, מיפוי IT ורציפות עסקית הוא נקודת פתיחה טובה.

לאחר מכן בצעו בדיקה מדגמית בחמש תחנות, או בכולן אם מדובר במשרד קטן:

• פתחו את Windows Update ובדקו מתי הותקן העדכון האחרון, לא רק אם מופיע סימן ירוק.
• ודאו שהמחשב ביצע אתחול אחרי ההתקנה. עדכון שממתין להפעלה מחדש עדיין לא סיים את עבודתו.
• בדקו אילו חשבונות נמצאים בקבוצת Administrators המקומית.
• חפשו מחשבים שלא התחברו למערכת הניהול או ל-VPN במשך זמן ממושך.
• תעדו תוכנות עסקיות שעלולות להיפגע מעדכון, למשל תוכנת הנהלת חשבונות ישנה או דרייבר למדפסת מדבקות.

מומלץ להשוות את המצב גם מול בדיקת Microsoft Defender ועדכוני תחנות. עדכון מערכת, עדכון מנוע האבטחה ועדכון חתימות הם פריטים שונים; אור ירוק באחד מהם אינו מוכיח שהשאר תקינים.

כך מורידים הרשאות בלי לעצור את העבודה

אל תסירו הרשאות מנהל מכל העובדים ביום אחד. תחילה צרו חשבון מנהל נפרד לתמיכה, עם סיסמה ייחודית ו-MFA במקום שבו המערכת תומכת בכך. העובד ממשיך לעבוד בחשבון רגיל, ואיש התמיכה משתמש בהרשאה הגבוהה רק בזמן התקנה או שינוי מאושר.

בחרו שניים או שלושה מחשבים לניסוי. במשך שבוע תעדו אילו פעולות ביקשו הרשאת מנהל ומי אישר אותן. אם תוכנה עסקית דורשת מנהל בכל הפעלה, צריך לבדוק אם זו דרישה אמיתית, גרסה מיושנת או הגדרה שניתן לתקן. לא כדאי לפתור דרישה אחת באמצעות הרשאה קבועה לכל התחנה.

קבעו גם מסלול חירום: מי מחזיק את חשבון התמיכה, איך מקבלים גישה כשהעובד מחוץ למשרד, ומה עושים אם הסיסמה אינה זמינה. כאן מתחבר הנושא ל-נוהל סגירת גישה לעובד שעוזב. חשבון מנהל שלא הוסר בזמן עזיבה הוא נכס מצוין, רק לא לעסק.

Microsoft מרכזת עדכוני אבטחה ב-מרכז MSRC. ספק IT או עובד אחראי צריך לעבור על המידע, להתאים אותו למחשבים שבפועל קיימים בעסק ולהחליט על סדר התקנה. עצם קבלת ההתראה במייל אינה עדכון, ממש כפי שחשבונית בתיבת הדואר אינה תשלום.

קצב עדכון שמתאים לעסק של 5 עד 50 עובדים

אין צורך בחדר בקרה. צריך לוח זמנים, בעל תפקיד וראיה שהעדכון הושלם. לעדכונים רגילים אפשר לקבוע חלון חודשי קבוע. חולשה שנמצאת בניצול פעיל דורשת בחינה מהירה יותר, לפי המערכות המושפעות והנחיות היצרן.

תהליך סביר כולל קבוצת ניסוי קטנה, גיבוי של מידע עסקי חשוב, התקנה, אתחול ובדיקת הפעולות שהעסק חייב לבצע בבוקר. רק לאחר מכן מרחיבים את העדכון לשאר התחנות. במקביל, מגדירים יעד ברור לטיפול במחשבים שלא היו מחוברים בזמן החלון.

אם אין בעסק אדם שמרכז את הרשימה, ההחלטות והמעקב, כדאי להסדיר זאת כחלק מ-שירותי IT לעסקים. המטרה אינה לקנות עוד מערכת ניהול רק כדי שיהיה לה מסך כחול יפה. המטרה היא לדעת אילו תחנות עוד פגיעות ומי מטפל בהן.

שאלות נפוצות

האם החולשה מחייבת להחליף את כל מחשבי Windows?

לא. צריך לבדוק אילו גרסאות ועדכונים חלים על התחנות הקיימות ולפעול לפי הנחיות Microsoft. מחשב שאינו נתמך עוד הוא מקרה אחר: אם אין עבורו עדכוני אבטחה, יש לתכנן שדרוג או החלפה ולא להניח שאנטי וירוס לבדו יפתור את הפער.

האם כל עובד חייב חשבון מנהל כדי להתקין תוכנות?

לא. ברוב המקרים העובד יכול לעבוד בחשבון רגיל, ואיש תמיכה מאשר התקנה באמצעות חשבון מנהל נפרד. אם מתקינים תוכנות בתדירות גבוהה, אפשר לבנות קטלוג יישומים מאושר או תהליך התקנה מרחוק במקום להשאיר הרשאה קבועה.

מה עושים עם עובד שעובד רק מהבית?

בודקים שהמחשב מקבל עדכונים גם מחוץ למשרד ושהוא מדווח למערכת הניהול. יש לקבוע מועד שבו הוא מחובר לחשמל ולאינטרנט לצורך התקנה ואתחול. מחשב נייד שסוגר את המכסה בכל ערב יכול לדחות עדכונים זמן רב בלי שאיש ישים לב.

איך יודעים שהתיקון באמת הותקן?

מבקשים ראיה לפי מספר העדכון, גרסת הבנייה או דוח ממערכת ניהול התחנות, ואז מבצעים בדיקת שימוש קצרה. צילום מסך של הודעת "הכול מעודכן" עוזר, אבל דוח מרוכז עדיף כשיש יותר מכמה מחשבים.

אם אתם צריכים למפות תחנות Windows, לצמצם הרשאות מנהל ולבנות קצב עדכונים שאפשר לעקוב אחריו, אפשר לפנות ללימי פתרונות מחשוב בטלפון 0542395928 או במייל gallev@limitech.co.il. השיחה צריכה להתחיל במה שקיים בעסק, לא ברשימת מוצרים.