PHP-haavoittuvuus 21.10. – yksi viime vuosien merkittävimmistä tietoturvauhista

Monica Javanainen

Keskiviikkona 21.10. PHP:ssä julkistettiin kaksi kriittistä tietoturvahaavoittuvuutta, jotka koskivat suurta osaa maailman verkkosivustoista. Päivitimme kaikki ylläpitämämme sivustot heti korjauksen julkaisun jälkeen ja suljimme ne varotoimenpiteenä siihen asti. Kerromme tässä, mitä tapahtui, mitä se olisi voinut tarkoittaa ja miten toimimme.

Mikä on PHP?

PHP on alun perin verkkosivustoja varten kehitetty ohjelmointikieli, jolla suuri osa verkkosivustoista toimii taustalla. Kun kävijä avaa sivun, PHP muodostaa sen palvelimella: hakee sisällön tietokannasta, käsittelee lomakkeet ja kokoaa sivun selaimelle. Kävijä ei näe PHP:tä, mutta ilman sitä sivusto ei toimisi.

PHP on WordPressin, Joomlan, Drupalin, WooCommercen ja Magenton kaltaisten julkaisujärjestelmien ja verkkokauppojen perusta. Pelkkä WordPress pyörittää noin 40 % kaikista maailman verkkosivustoista (W3Techs). Kun mukaan lasketaan muut PHP-pohjaiset sivustot, PHP on käytössä noin 69 %:lla sivustoista (W3Techs).

Kun PHP:ssä on haavoittuvuus, kyse ei siis ole pienen piirin korjauksesta. Se koskee suurta osaa koko verkosta. PHP voi olla myös hostingalustojen, hallintapaneelien ja muiden ohjelmistojen taustalla niin, ettei sitä käyttävä organisaatio välttämättä edes tiedä sitä.

PHP:tä kehitetään jatkuvasti, ja siihen julkaistaan säännöllisesti päivityksiä. Ylläpidämme sivustojen taustalla olevaa PHP:tä osana normaalia ylläpitoa, jotta sivustot pysyvät teknisesti ajan tasalla ja turvallisina.

Mitä tapahtui?

PHP:n ytimestä löytyi kaksi kriittistä haavoittuvuutta (CVE-2026-109618 ja CVE-2026-109619), joita tietoturva-alalla kutsutaan nimellä PHP2Shell. PHP:n tietoturvatiimi arvioi molemmat vakavuusasteikolla 9,2/10. Haavoittuvuuksien kautta hyökkääjä voi pahimmillaan ajaa omaa koodiaan palvelimella ilman kirjautumista.

Suomessa Traficomin Kyberturvallisuuskeskus julkaisi aiheesta varoituksen keskiviikkoaamuna (haavoittuvuus 37/2026). Se kehotti varautumaan kiireelliseen päivitykseen ja päivittämään PHP:n viipymättä korjauksen julkaisun jälkeen.

Kyse oli maailmanlaajuisesta tilanteesta. Suomessa Valtori sulki valtion julkisia verkkopalveluita varotoimena (Yle). Alankomaissa muun muassa DigiD-tunnistuspalvelu ja kansallisen kyberturvallisuuskeskuksen sivusto otettiin pois verkosta, ja viranomaissivustoja suljettiin myös Ranskassa ja Belgiassa (AFP / The Korea Times). EU:n CERT-EU ja Iso-Britannian NCSC kehottivat ottamaan pois verkosta järjestelmät, joita ei voitu heti päivittää.

Haavoittuvuudet koskivat käytännössä kaikkia PHP-versioita vuosien ajalta. Korjaukset julkaistiin tuettuihin versioihin 8.2–8.5 (Help Net Security).

Vaikka haavoittuvuudet tulivat julki nyt, ne eivät syntyneet nyt. Tutkijoiden mukaan virheet ovat olleet PHP:ssä jo yli kymmenen vuotta (OX Security). Ne vain havaittiin vasta nyt.

Tavallisesti haavoittuvuus korjataan hiljaisuudessa ja julkistetaan vasta, kun korjaus on valmis. Nyt tieto vuoti julkisuuteen ennen suunniteltua aikataulua, ja PHP aikaisti korjauksen julkaisua. PHP:n tietoturvatiedotteessa haavoittuvuuksien löytäjiksi mainitaan muun muassa tietoturvayhtiö Wizin ja OpenAI:n tutkijat (PHP), ja haavoittuvuudet löytyivät tekoälymallien avulla (The Next Web).

Mitä tietoturva-aukko voi pahimmillaan tarkoittaa?

Kun hyökkääjä pääsee ajamaan omaa koodiaan palvelimella, hän voi tehdä lähes mitä tahansa, mitä sivusto itsekin voi. Pahimmillaan se tarkoittaa:

• Henkilötietojen varastamista. Lomakkeiden kautta tallennetut yhteystiedot, asiakastiedot ja tilaukset voidaan kopioida.
• Sivuston haltuunottoa. Hyökkääjä voi luoda itselleen ylläpitäjätunnukset tai muuttaa sivuston sisältöä.
• Haittaohjelmien levittämistä. Sivustolle voidaan piilottaa koodia, joka ohjaa kävijöitä huijaussivuille tai yrittää tartuttaa heidän laitteitaan.
• Takaovia. Palvelimelle voidaan jättää piilotettu pääsy, jonka kautta hyökkääjä palaa myöhemmin, vaikka alkuperäinen aukko olisi jo korjattu.
• Palvelimen väärinkäyttöä. Palvelinta voidaan käyttää roskapostin lähettämiseen, kryptovaluutan louhintaan tai hyökkäyksiin muita kohteita vastaan.
• Mainehaittaa. Hakukoneet ja selaimet voivat merkitä saastuneen sivuston vaaralliseksi, mikä karkottaa kävijät.

Tekoäly tietoturvassa: kaksiteräinen miekka

Tekoälyn avulla tietoturva-aukkoja löydetään nyt nopeammin kuin koskaan. Sama kehitys auttaa myös hyökkääjiä: kun aukko tulee julki, toimiva hyökkäystapa voidaan rakentaa entistä nopeammin.

PHP2Shell on tästä hyvä esimerkki. Haavoittuvuudet löydettiin tekoälyn avulla, ja OpenAI kuvasi niitä yhdeksi viime aikojen vaikutuksiltaan merkittävimmistä tietoturvaongelmista. Tietoturvayhtiö Wizin tutkijoiden mukaan tekoälymallit madalsivat merkittävästi kynnystä muuttaa nämä vuosia vanhat virheet toimivaksi hyökkäykseksi (Help Net Security). Tietoturvayhtiö Sansec arvioi etukäteen, että laajat hyökkäykset alkaisivat jopa vartissa korjauksen julkaisusta (SecurityWeek).

Tämä tarkoittaa, että aikaikkuna aukon julkistamisen ja hyökkäysten välillä on lyhentynyt päivistä tunteihin. Siksi nopea reagointi on nyt tärkeämpää kuin koskaan.

Onko WordPress turvallinen?

On, kun sitä ylläpidetään. Tietoturvauhkia kohdistuu kaikkiin verkkosivustoihin alustasta riippumatta. WordPress pyörittää noin 40 % kaikista maailman sivustoista (W3Techs), joten on luonnollista, että suuri osa uutisoiduista uhista liittyy juuri siihen.

Uhat eivät yleensä ole itse WordPressissä. Patchstackin mukaan WordPress-ekosysteemistä löytyi vuonna 2025 yhteensä 11 334 uutta haavoittuvuutta. Niistä 91 % oli lisäosissa ja 9 % teemoissa, ja itse WordPressissä vain kuusi, kaikki vähäisiä (Patchstack).

Tekoälyn aikakaudella haavoittuvuuksia löytyy enemmän ja niitä hyödynnetään nopeammin. Patchstackin mukaan eniten kohdistettuja haavoittuvuuksia hyödynnettiin tyypillisesti jo viidessä tunnissa. Siksi meidän on oltava entistä valppaampia, ja siksi säännöllisesti päivitetyt lisäosat ovat tärkein yksittäinen suojakeino.

Miten toimimme

Kun tieto haavoittuvuuksista tuli, tietoturvatiimimme otti tilanteen heti seurantaan. PHP ilmoitti julkaisevansa korjauksen keskiviikkona klo 17 Suomen aikaa. Uhka ei kuitenkaan odottanut kello viittä: tieto oli jo julkista, ja hyökkäyksiä alkoi näkyä maailmalla ennen korjausta (Cloudfare).

Tiesimme, että katko aiheuttaa haittaa, mutta pidämme asiakkaidemme tietojen ja sivustojen turvallisuutta tärkeämpänä.

Tilanne nyt

Kaikki ylläpitämämme sivustot on päivitetty korjattuun PHP-versioon ja ovat jälleen normaalisti käytössä.

Seuraamme tilannetta edelleen. Jos esiin tulee uutta tietoa, joka vaatii toimenpiteitä, reagoimme heti ja kerromme asiasta asiakkaillemme.

Näin hoidamme webhostingin ja tietoturvan

Palvelinympäristö – Webhosting-palvelumme tarjotaan tytäryhtiömme Bojaco Oy:n kautta. Palvelimemme sijaitsevat Hetznerin konesalissa Suomessa, ellei toisin ole sovittu. Tarvittaessa sivuston voi sijoittaa myös muualle Eurooppaan.

Energia – Hetznerin mukaan sen Suomen ja Saksan konesalit käyttävät 100-prosenttisesti uusiutuvaa sähköä, ja Suomen konesalin sähkön alkuperä on varmennettu vesivoimasertifikaatilla. Palvelimet jäähdytetään ilmalla, ja niiden hukkalämmöllä lämmitetään konesalin omia tiloja. Työ hiilineutraaliuden eteen on Hetznerillä vielä kesken (Hetzner).

Ylläpito – Palvelinympäristön ylläpidosta vastaavat Bojaco ja J&Co Digital yhdessä.

Tietoturvatiimi – J&Co Digitalilla on oma tietoturvatiimi, joka kehittää jatkuvasti toimenpiteitä tietoturvan parantamiseksi.

Valmiit toimintamallit – Tiimillä on tarkat toimintaohjeet poikkeustilanteisiin: tilannekuvan seuranta, päätös suojaavista toimista, asiakkaiden tiedottaminen, päivitykset ja sivustojen tarkistus.

Hosting suojaa, jatkuva ylläpito pitää sivuston ajan tasalla

PHP2Shell oli poikkeuksellisen laaja tilanne, mutta tietoturvatyö ei ole meillä kertaluonteista. Valvomme palvelinympäristöä 24/7 ja seuraamme jatkuvasti myös WordPressin lisäosien ja teemojen haavoittuvuuksia. Niitä julkaistaan käytännössä päivittäin, pelkästään viime vuonna yli 11 000 (Patchstack).

Kriittiset haavoittuvuudet korjaamme heti. Emme yleensä tiedota niistä erikseen, koska ne ovat osa normaalia, päivittäistä työtämme, ja asiakkaamme eivät useimmiten huomaa niistä mitään. Kerromme vain isoista tilanteista, kuten tästä. Juuri tämä näkymätön jatkuva työ on se, mistä turvallisessa hostingissa maksetaan.

Webhosting ja sivuston ylläpito kuulostavat samalta, mutta ne kattavat eri asioita. Hostingiin sisältyvät aina kaikki tietoturvapäivitykset. Kun WordPressistä, lisäosista, teemoista tai PHP:stä löytyy haavoittuvuus, korjaamme sen, oli kyse sitten PHP2Shellin kaltaisesta laajasta tilanteesta tai yksittäisestä lisäosasta. Hosting-asiakkaidemme sivustot ovat siis suojassa myös ilman erillistä ylläpitopakettia.

Tietoturvan lisäksi moni haluaa, että sivusto pysyy myös teknisesti uusimmassa kunnossa. PHP:hen, WordPressiin ja lisäosiin julkaistaan jatkuvasti uusia versioita, jotka eivät liity tietoturvaan vaan kehitykseen. Jos niitä lykätään, sivusto vanhenee vähitellen, ja jokainen seuraava päivitys on edellistä työläämpi ja riskialttiimpi.

Ajantasainen sivusto toimii paremmin, ja se on helpompi pitää kunnossa myös jatkossa. Se on myös nopeampi, mikä vaikuttaa suoraan näkyvyyteen hakukoneissa (SEO) ja tekoälyhauissa (GEO).

Jatkuva ylläpito: sivustosi kuukausihuolto

Tätä varten tarjoamme hostingin lisäksi valinnaisen Jatkuvan ylläpidon. Se sopii sinulle, jos haluat, että sivustosi on teknisesti aina uusimmassa kunnossa ja saat joka kuukausi tiedon siitä, mitä sille on tehty. Siinä asiantuntija käy sivustosi läpi joka kuukausi, päivittää sen ja kirjaa tehdyt toimenpiteet. Näin sivusto pysyy koko ajan ajan tasalla, eikä päivitystarpeita pääse kertymään.

Kiinteään kuukausihintaan sisältyy noin 2 tuntia asiantuntijatyötä joka kuukausi. Jos sivusto tarvitsee enemmän työtä, sovimme siitä etukäteen.

Päivitykset hallitusti

• WordPressin, teemojen ja lisäosien päivitykset kuukausittaisella ylläpitokierroksella
• PHP-version nostot uusiin versioihin, ei vain kriittisiä tietoturvakorjauksia
• Maksullisten lisäosien lisenssien hallinta ja uusiminen

Testaus ja korjaukset

• Manuaalinen testaus jokaisen päivityskierroksen jälkeen: ihminen tarkistaa, että sivusto ja sen tärkeimmät toiminnot toimivat
• Päivitysten aiheuttamien virheiden korjaus, joten ongelma ei jää sinun ratkaistavaksesi

Tietoturvakäytännöt

• Tietoturvakäytäntöjen säännöllinen läpikäynti, kuten kaksivaiheinen tunnistautuminen (2FA) ja muut suojaukset

Läpinäkyvyys

• Kuukausiraportti, josta näet, mitä sivustollesi on tehty ja mitä havaitsimme
• Nimetty yhteyshenkilö

Varasivusto poikkeustilanteisiin

Kun tietoturvatilanteita tulee yhä useammin, kannattaa varautua myös siihen, että sivusto on joskus suljettava tai se kaatuu. Tätä varten voimme rakentaa sivustosi rinnalle kevyen varasivuston, joka sisältää vain kaikkein oleellisimman: yhteystiedot, puhelinnumeron ja yhteydenottomahdollisuuden.

Varasivusto ei käytä PHP:tä eikä tietokantaa, joten PHP2Shellin kaltaiset haavoittuvuudet eivät koske sitä. Jos pääsivusto joudutaan sulkemaan, avaamme varasivuston sen tilalle. Näin asiakkaasi tavoittavat sinut myös poikkeustilanteessa, ja katko on hallittu.

Kuka huolehtii sinun sivustostasi?

Jos et ole varma, päivitettiinko sivustosi PHP tai kuka sivustosi tietoturvasta vastaa, ota yhteyttä, niin jutellaan. Tarkistamme sivustosi nykytilan ja kerromme, mikä ratkaisu sopii sinulle. Hoidamme siirron puolestasi avaimet käteen -periaatteella.

Kysy lisää: monica@jco.fi. 

Lue myös

AI

Mikä on llms.txt ja miten se parantaa verkkosivujen näkyvyyttä tekoälyhaussa?

Tietoturva

Sivuston voi palauttaa muutamalla klikkauksella, mainetta ei – tietoturva suojaa sinua molemmilta

AI

AI idea­generaattori auttaa yrityksiä kehittämään matkailua

— Light in the Dark -hankkeen tekoälypohjainen ideageneraattori auttaa Itämeren alueen matkailuyrityksiä löytämään uusia ideoita hiljaiselle matkailukaudelle.