Kirjoitin hiljattain Google Search Consolen indeksointi-ilmoituksista, jotka saavat välillä asiakkaani huolestumaan verkkosivujensa tilanteesta. On olemassa toinenkin ilmoitustyyppi, joka aiheuttaa helposti vielä hieman enemmän sydämentykytyksiä.
Sähköpostiin tulee webhotellilta tai tietoturvapalvelulta ilmoitus, jonka mukaan WordPress-sivustolla käytössä olevasta lisäosasta on löydetty tietoturvahaavoittuvuus.
Onko joku siis päässyt verkkosivuille? Ovatko sivuston tiedot vaarassa? Onko sivustolle tehty tietomurto?
Ei välttämättä.
Haavoittuvuusilmoitus kannattaa aina tarkistaa, mutta se ei yleensä tarkoita, että juuri omalla verkkosivustollasi olisi havaittu tietomurto. Useimmiten ilmoitus kertoo siitä, että jostakin sivustolla käytössä olevasta ohjelmistosta on löydetty turvallisuuspuute.
Haavoittuvuus ei ole sama asia kuin tietomurto
Tietoturvahaavoittuvuus tarkoittaa ohjelmistosta löydettyä heikkoutta, jota hyödyntämällä hyökkääjä voisi tietyissä olosuhteissa päästä tekemään jotakin, mitä hänen ei pitäisi pystyä tekemään.
WordPress-sivustolla haavoittuvuus voi löytyä itse WordPressistä, teemasta tai lisäosasta. Käytännössä haavoittuvuusilmoitukset koskevat usein juuri lisäosia.
Jos esimerkiksi sivustollasi käytössä olevasta lisäosasta löydetään haavoittuvuus, sitä valvova webhotelli tai tietoturvapalvelu voi lähettää asiasta varoituksen. Ilmoitus perustuu silloin tietoon kyseisestä ohjelmistosta – ei välttämättä siihen, että omalla sivustollasi olisi havaittu mitään epäilyttävää.
Haavoittuvuuden löytyminen ei siis tarkoita, että sitä olisi hyödynnetty juuri sinun sivustollasi.
Tilannetta voisi verrata auton valmistajan ilmoitukseen siitä, että tietyn automallin lukituksessa on havaittu turvallisuuspuute. Jos omistat kyseisen mallin, asia kannattaa tietenkin korjata. Ilmoitus ei kuitenkaan tarkoita, että joku olisi jo murtautunut juuri sinun autoosi.
Miksi WordPressin lisäosista löytyy haavoittuvuuksia?
WordPressin ympärille on rakentunut valtava ekosysteemi, johon kuuluu kymmeniätuhansia lisäosia ja teemoja. Niitä kehitetään ja tutkitaan jatkuvasti, joten myös uusia tietoturvaongelmia löydetään säännöllisesti.
Se voi kuulostaa huolestuttavalta, mutta haavoittuvuuksien löytyminen ei itsessään ole huono asia. Päinvastoin: tietoturvan kannalta on olennaista, että ohjelmistoja tutkitaan, löydetyistä puutteista ilmoitetaan ja ne korjataan.
Usein lisäosan kehittäjä julkaisee haavoittuvuuden korjaavan päivityksen nopeasti. Kun lisäosa päivitetään korjattuun versioon, kyseinen haavoittuvuus ei enää koske sitä.
Siksi sähköpostiin voi joskus tulla myös ilmoitus haavoittuvuudesta, joka on omalla sivustolla jo ehditty korjata päivityksellä. Pelkkä ilmoituksen saaminen ei siis vielä kerro, että sivusto olisi sillä hetkellä haavoittuva.
Kaikki haavoittuvuudet eivät ole yhtä vakavia
Sana haavoittuvuus kuulostaa aina vakavalta, mutta haavoittuvuuksien välillä on suuria eroja.
Jotakin haavoittuvuutta voidaan ehkä hyödyntää suoraan verkosta ilman kirjautumista. Toinen saattaa edellyttää, että hyökkääjällä on jo käyttäjätunnus sivustolle ja tietynlaiset käyttöoikeudet. Myös se vaihtelee, mitä haavoittuvuutta hyödyntämällä olisi mahdollista tehdä.
Haavoittuvuuksille annetaan yleensä myös vakavuusluokitus, joka auttaa arvioimaan niiden aiheuttamaa riskiä. Pelkkä luokitus ei kuitenkaan ratkaise kaikkea: merkitystä on esimerkiksi sillä, millä edellytyksillä haavoittuvuutta voidaan hyödyntää ja onko sitä jo havaittu hyödynnettävän aktiivisesti.
Siksi kahta haavoittuvuusilmoitusta ei välttämättä pidä tulkita samalla tavalla. Toinen voi vaatia välittömiä toimenpiteitä, kun taas toinen muodostaa käytännössä hyvin pienen riskin.
WordPress-ytimestä on löytynyt tänä kesänä useita haavoittuvuuksia
Hyvä esimerkki haavoittuvuuksien erilaisesta vakavuudesta saatiin kesällä 2026, kun itse WordPressin ytimestä löytyi useita tietoturvaongelmia.
Heinäkuussa julkaistu WordPress 7.0.2 korjasi yhden kriittisen ja yhden vakavan haavoittuvuuden. Tilanne oli niin poikkeuksellinen, että WordPress otti haavoittuvilla sivustoilla käyttöön pakotetut automaattipäivitykset.
Tietoturvapäivitykset eivät kuitenkaan jääneet siihen. Elokuun alussa julkaistu WordPress 7.0.3 sisälsi vielä 12 uutta tietoturvakorjausta, ja WordPress suositteli jälleen sivustojen päivittämistä välittömästi.
Jos WordPress-sivustoasi ei ole päivitetty kesän aikana, nyt on siis viimeistään hyvä hetki tarkistaa, että käytössä on ajantasainen ja tietoturvakorjaukset sisältävä WordPress-versio.
Mitä haavoittuvuusilmoituksen jälkeen kannattaa tehdä?
Ensimmäiseksi kannattaa tarkistaa, mitä WordPressin osaa ja mitä versioita ilmoitus koskee.
Jos kyse on lisäosasta, tarkista seuraavaksi, mikä versio siitä on omalla sivustollasi käytössä ja onko haavoittuvuuden korjaava päivitys julkaistu.
Jos haavoittuvuus koskee esimerkiksi lisäosan versiota 3.2.0 ja sitä vanhempia versioita, mutta sivustollasi on jo käytössä korjattu versio 3.2.1, kyseinen haavoittuvuus ei enää koske sivustoasi.
Jos käytössä on haavoittuva versio ja korjaava päivitys on saatavilla, lisäosa kannattaa päivittää.
Tilanne vaatii enemmän harkintaa, jos korjausta ei ole vielä julkaistu. Haavoittuvuuden vakavuudesta riippuen lisäosa voidaan joutua esimerkiksi poistamaan väliaikaisesti käytöstä tai korvaamaan toisella.
Erityisen tarkkana kannattaa olla sellaisten lisäosien kanssa, joiden kehitys on loppunut kokonaan. Jos lisäosaa ei enää ylläpidetä eikä tietoturvaongelmia korjata, pitkällä aikavälillä järkevin ratkaisu on yleensä vaihtaa se aktiivisesti ylläpidettyyn vaihtoehtoon.
Miksi WordPressin säännöllinen ylläpito on tärkeää?
Haavoittuvuusilmoitukset ovat hyvä esimerkki siitä, miksi WordPress-sivustoa ei kannata ajatella projektina, joka valmistuu julkaisuhetkellä ja jätetään sen jälkeen vuosiksi oman onnensa nojaan.
WordPressiä, teemoja ja lisäosia kehitetään jatkuvasti. Päivityksissä lisätään ominaisuuksia ja korjataan ohjelmistovirheitä ja yhteensopivuusongelmia, mutta niiden mukana tulee myös tärkeitä tietoturvakorjauksia.
Säännöllisesti ylläpidetyllä sivustolla päivitykset eivät pääse kasaantumaan, ja korjaavat tietoturvapäivitykset saadaan käyttöön nopeasti. Samalla on tärkeää huolehtia säännöllisistä varmuuskopioista ja sivuston toiminnan seurannasta.
Omilla ylläpitoasiakkaillani on lisäksi käytössä MalCaren Vulnerability Shield, joka tuo sivustoille ylimääräisen suojakerroksen haavoittuvuuksia vastaan. Se voi ottaa käyttöön niin sanotun virtuaalisen korjauksen heti, kun sellainen on saatavilla. Näin tunnetun haavoittuvuuden hyödyntämistä voidaan estää jo ennen kuin lisäosan kehittäjä on julkaissut varsinaisen korjaavan päivityksen.
Virtuaalinen korjaus ei tietenkään poista päivitysten tarvetta. Kun varsinainen tietoturvapäivitys julkaistaan, ohjelmisto pitää edelleen päivittää. Vulnerability Shield auttaa kuitenkin pienentämään sitä väliin jäävää aikaa, jolloin haavoittuvuus tunnetaan mutta korjaavaa päivitystä ei vielä ole saatavilla.
Olen kirjoittanut tarkemmin BlogVaultin ja MalCaren käytöstä WordPress-sivustojen ylläpidossa. Molemmat kuuluvat myös Havenan WordPress-ylläpitopalveluun, jossa huolehdin asiakkaideni sivustojen säännöllisistä päivityksistä, varmuuskopioista ja tietoturvasta.
Haavoittuvuusilmoitus kannattaa tarkistaa, mutta sitä ei tarvitse säikähtää
Kun sähköpostiin seuraavan kerran tulee ilmoitus WordPress-sivuston haavoittuvuudesta, tärkeintä on erottaa kaksi asiaa toisistaan:
Haavoittuvuus ei ole sama asia kuin tietomurto.
Ilmoitus kertoo yleensä siitä, että sivustolla käytössä olevasta ohjelmistosta on löydetty turvallisuuspuute. Se ei itsessään kerro, että puutetta olisi hyödynnetty juuri sinun sivustollasi.
Ilmoitusta ei silti kannata jättää huomiotta. Tarkista, mitä ohjelmistoa ja versiota se koskee, onko sivustollasi käytössä haavoittuva versio ja löytyykö siihen jo korjaava päivitys.
Usein asia hoituu yhdellä päivityksellä – tai on ehtinyt hoitua jo ennen kuin ehdit avata varoitussähköpostin. Jos korjausta ei ole saatavilla tai kyse on vakavasta haavoittuvuudesta, tilanne kannattaa selvittää tarkemmin.
Tietoturvailmoitusten tarkoitus on auttaa reagoimaan mahdollisiin riskeihin ajoissa. Niiden tehtävä ei ole kertoa, että katastrofi olisi jo tapahtunut, vaikka sähköpostin otsikosta voisi joskus saada hieman toisenlaisen käsityksen.
