AI กำลังเปลี่ยนแปลงความมั่นคงของโอเพ่นซอร์ส ซอฟต์แวร์Lifecycle Accountability ต้องเปลี่ยนแปลงไปพร้อมกัน

เมื่อ Drupal เปิดเผย CVE-2026-9082 ในเดือนพฤษภาคม การพยายามใช้ประโยชน์ถูกรายงานภายใน 48 ชั่วโมง ซึ่งแสดงให้เห็นว่าช่วงเวลาที่ลดลงระหว่างการเปิดเผยและความพยายามในการใช้ประโยชน์เป็นความเป็นจริงใหม่ที่องค์กรที่พึ่งพาซอฟต์แวร์โอเพ่นซอร์สต้องเผชิญ พวกเขามีเวลาน้อยกว่าที่เคยในการประเมินความเสี่ยงและตอบสนองก่อนที่จะถูกโจมตี

AI กำลังเร่งการเปลี่ยนแปลงนี้โดยการเพิ่มความเร็วและขนาดของการค้นพบช่องโหว่ด้านความปลอดภัย เมื่อการค้นพบช่องโหว่เร็วขึ้น ความท้าทายสำหรับองค์กรไม่ใช่แค่การระบุช่องโหว่ แต่ยังรวมถึงการรับรองวาซอฟต์แวร์ที่พวกเขาพึ่งพายังคงปลอดภัย รองรับได้ และทนทานตลอดวงจรชีวิต

AI กำลังเร่งการโจมตีให้เร็วกว่าที่องค์กรสามารถตอบสนองได้

เครื่องมือที่ใช้ AI กำลังเร่งการค้นพบช่องโหว่และลดข้อจำกัดในการพัฒนาการโจมตี ทำให้องค์กรมีเวลาน้อยลงในการประเมินความเสี่ยงและตอบสนอง การคาดการณ์ใหม่ของอุตสาหกรรมจาก FIRST ประมาณการว่าจะมีการเปิดเผยช่องโหว่ด้านความปลอดภัยเกือบ 66,000 ช่องโหว่ ในปี 2026 ซึ่งเป็นการปรับเพิ่มขึ้น 11% จากการคาดการณ์ในเดือนกุมภาพันธ์ หลังจากที่การเปิดเผยช่องโหว่เกินกว่าที่คาดไว้ 46% ในเดือนเมษายน

FIRST ยังชี้ให้เห็นว่าความเสี่ยงที่สามารถใช้ประโยชน์ได้ไม่ได้เพิ่มขึ้นในอัตราเดียวกันกับจำนวนช่องโหว่ด้านความปลอดภัยที่เพิ่มขึ้น และการคัดแยกและแก้ไขปัญหา (KEV และ EPSS) สามารถดูดซับได้ แต่การคัดแยกและแก้ไขปัญหาโดยพิจารณาว่ามีการแก้ไขปัญหาแล้ว สำหรับซอฟต์แวร์ที่สร้างขึ้นจากเฟรมเวิร์กที่สิ้นสุดระยะเวลารองรับแล้ว ไม่มีการแก้ไขปัญหา และแบบจำลองการจัดลำดับความสำคัญล่มสลายที่จุดที่สำคัญที่สุด

ในขณะเดียวกัน ทีมงานด้านความปลอดภัยไม่สามารถทำงานได้ด้วยความเร็วของเครื่องจักร พวกเขายังคงต้องกำหนดระบบที่ได้รับผลกระทบ ประเมินความเสี่ยงด้านธุรกิจ ทดสอบการแก้ไขปัญหา และติดตั้งการอัปเดตโดยไม่ทำให้การดำเนินงานหยุดชะงัก สำหรับองค์กรที่พึ่งพาซอฟต์แวร์โอเพ่นซอร์ส ความท้าทายนี้ยิ่งใหญ่ขึ้นเมื่อส่วนประกอบที่สำคัญต่อธุรกิจมีระยะเวลารองรับสิ้นสุดลงและไม่ได้รับการอัปเดตด้านความปลอดภัยจากผู้ดูแลเดิมอีกต่อไป

ผลลัพธ์คือช่องว่างที่กว้างขึ้นระหว่างการระบุช่องโหว่และความสามารถในการแก้ไขปัญหา องค์กรต้องการมากกว่าการมองเห็นช่องโหว่ด้านความปลอดภัย พวกเขาต้องการความมั่นใจวาซอฟต์แวร์ที่พวกเขาพึ่งพานั้นจะยังคงปลอดภัยและรองรับได้ตลอดวงจรชีวิต

ซอฟต์แวร์ที่ไม่ได้รับการรองรับกำลังกลายเป็นความเสี่ยงต่อองค์กรที่เพิ่มขึ้น

หลายองค์กรมีการใช้ซอฟต์แวร์โอเพ่นซอร์สเฟรมเวิร์กที่สิ้นสุดระยะเวลารองรับ เช่น Drupal, Spring และ AngularJS เนื่องจากการแทนที่แอปพลิเคชันที่สำคัญต่อธุรกิจมีค่าใช้จ่ายสูง และอาจต้องใช้เวลาหลายปีในการดำเนินการ

ความเป็นจริงนี้กำลังปะทะกับความคาดหวังด้านกฎระเบียบใหม่ๆ เฟรมเวิร์กด้านกฎระเบียบ เช่น EU Cyber Resilience Act, DORA, NIS2 และ PCI DSS 4.0 มุ่งเน้นไปที่การบำรุงรักษาซอฟต์แวร์ ความโปร่งใส่ด้านซัพพลายเชน และการรองรับซอฟต์แวร์อย่างต่อเนื่อง ทำให้ซอฟต์แวร์ที่ไม่ได้รับการรองรับกลายเป็นความเสี่ยงด้านการปฏิบัติตามกฎระเบียบและด้านการดำเนินการที่เพิ่มขึ้น

เนื่องจากการปรับปรุงซอฟต์แวร์อาจต้องใช้เวลาหลายปี องค์กรจึงต้องการกลยุทธ์ในการรักษาซอฟต์แวร์ที่ปลอดภัยและได้รับการรองรับตลอดการเปลี่ยนแปลง

องค์กรต้องการการมองเห็นตลอดวงจรชีวิต ไม่ใช่แค่การมองเห็นช่องโหว่ด้านความปลอดภัย

องค์กรส่วนใหญ่ลงทุนอย่างมากในการใช้เครื่องมือที่ออกแบบมาเพื่อระบุช่องโหว่ด้านความปลอดภัยในระบบของตน เครื่องมือเหล่านี้ตอบคำถามว่าช่องโหว่ด้านความปลอดภัยอยู่ที่ไหน แต่ไม่ได้กล่าวถึงคำถามที่สำคัญที่สุดว่า ซอฟต์แวร์นี้ยังคงได้รับการรองรับหรือไม่

การตอบคำถามนี้ต้องให้องค์กรมองไปไกลกว่าการจัดการช่องโหว่ด้านความปลอดภัย พวกเขาต้องการการมองเห็นว่าซอฟต์แวร์โอเพ่นซอร์สที่สำคัญต่อธุรกิจนั้นยังคงได้รับการบำรุงรักษาอยู่หรือไม่ กำลังจะสิ้นสุดระยะเวลารองรับหรือไม่ หรือไม่ได้รับการรองรับจากชุมชนอีกต่อไป และมีกลยุทธ์ในการรักษาความปลอดภัยของระบบเหล่านั้นจนกว่าการปรับปรุงซอฟต์แวร์จะเสร็จสิ้น

ผู้นำองค์กรควรให้ความสำคัญกับสามสิ่งหลัก:

• รู้ว่าคุณเป็นเจ้าของอะไร ระบุซอฟต์แวร์ที่ไม่ได้รับการรองรับก่อนที่ช่องโหว่ด้านความปลอดภัย การตรวจสอบ หรือเหตุการณ์จะบังคับให้คุณต้องทำ และเข้าใจว่าแอปพลิเคชันที่สำคัญต่อธุรกิจใดที่พึ่งพาซอฟต์แวร์นั้น
• วางแผนการปรับปรุงซอฟต์แวร์อย่างปลอดภัย รวมการวางแผนการรองรับซอฟต์แวร์เข้ากับการจัดซื้อ การพัฒนา และกลยุทธ์การปรับปรุง โดยมีแผนการรักษาความปลอดภัยของซอฟต์แวร์ตลอดการเปลี่ยนแปลง
• รักษาการรองรับซอฟต์แวร์เป็นลำดับความสำคัญทางธุรกิจ เมื่อระบบนิเวศของซอฟต์แวร์กลายเป็นไปอย่างซับซ้อน การรองรับซอฟต์แวร์ระยะยาวควรได้รับการปฏิบัติเหมือนความสามารถทางธุรกิจเชิงกลยุทธ์ ไม่ใช่แค่ความกังวลทางวิศวกรรม

AI กำลังเปลี่ยนแปลงวิธีการสร้างซอฟต์แวร์ วิธีการค้นพบช่องโหว่ด้านความปลอดภัย และความเร็วที่องค์กรต้องตอบสนอง สิ่งที่ไม่เปลี่ยนแปลงคือความรับผิดชอบขององค์กรในการรักษาความปลอดภัยของซอฟต์แวร์ที่ธุรกิจของตนพึ่งพา เมื่อ AI เปลี่ยนแปลงความมั่นคงด้านโอเพ่นซอร์ส ความสำเร็จจะขึ้นอยู่กับการปฏิบัติต่อความรับผิดชอบด้านวงจรชีวิตซอฟต์แวร์เป็นความสามารถด้านความปลอดภัยหลัก ไม่ใช่แค่การพิจารณาทางเทคนิค

องค์กรที่ประสบความสำเร็จอาจไม่ใช่ผู้ที่แก้ไขปัญหาได้เร็วที่สุด แต่จะเป็นผู้ที่สามารถจัดการความเสี่ยงด้านซอฟต์แวร์ทั่วทั้งวงจรชีวิตได้อย่างมั่นใจ รักษาความปลอดภัยและให้บริการแอปพลิเคชันที่สำคัญต่อธุรกิจในขณะที่ปรับปรุงซอฟต์แวร์ตามที่ต้องการ