WordPress-sivuston tietoturva: mitä uudenlaiset hyökkäysaallot opettavat?

Vuonna 2026 verkkosivustojen tietoturva on joutunut koetukselle useiden kriittisten haavoittuvuuksien ja nopeasti leviävien hyökkäysten vuoksi. Heinäkuussa paljastunut wp2shell-haavoittuvuus mahdollisti murtautumisen WordPress-sivustoille ilman käyttäjätunnuksia, ja lokakuussa PHP-ohjelmointikielestä löydettiin uusia kriittisiä haavoittuvuuksia, jotka uhkasivat myös WordPress-verkkosivujen taustalla toimivia palvelinympäristöjä.

Hyökkäykset ovat ulottuneet myös Suomeen. Traficomin Kyberturvallisuuskeskus vahvisti, että wp2shell-haavoittuvuutta hyödyntämällä tehtiin onnistuneita tietomurtoja suomalaisille WordPress-sivustoille.

Uudet haavoittuvuudet osoittavat, kuinka nopeasti tietoturvatilanne voi muuttua ja kuinka tärkeää jatkuva tietoturvasta huolehtiminen on. Kaikkia hyökkäyksiä ei pystytä estämään ennalta, vaikka sivuston tietoturva olisi hoidettu huolellisesti. Oikeilla suojauksilla, aktiivisella seurannalla ja nopealla reagoinnilla voidaan kuitenkin pienentää riskejä ja rajoittaa mahdollisten tietomurtojen seurauksia.

WordPress on edelleen turvallinen ja luotettava alusta, kun sen tietoturvasta huolehditaan asianmukaisesti. Käymme läpi vuoden 2026 merkittäviä haavoittuvuuksia, niiden mahdollistamia hyökkäyksiä ja sitä, mitä WordPress-sivuston suojaaminen nykyään edellyttää.

Mitä WordPressille tapahtui kesällä 2026?

WordPressistä löytyi kesällä 2026 kaksi tietoturvahaavoittuvuutta, joita hyökkääjät pystyivät hyödyntämään yhdessä. Näin syntyi kriittinen wp2shell-hyökkäysketju, jonka avulla sivustoille voitiin murtautua ilman käyttäjätunnusta tai salasanaa. WordPress julkaisi haavoittuvuuksien korjaamiseksi kiireelliset tietoturvapäivitykset 17. heinäkuuta 2026.

Hyökkäysketju koostui kahdesta haavoittuvuudesta:

• CVE-2026-63030: WordPressin REST API batch-rajapinnan haavoittuvuus, jonka avulla hyökkääjä pystyi ohittamaan rajapintaan liittyviä tarkistuksia. REST API on rajapinta, jonka kautta esimerkiksi sovellukset ja muut järjestelmät voivat käsitellä WordPressin tietoja. Batch-rajapinta mahdollistaa useiden pyyntöjen käsittelyn samalla kertaa.
• CVE-2026-60137: SQL-injektiohaavoittuvuus, jonka avulla hyökkääjä pystyi vaikuttamaan tietokantaan lähetettäviin kyselyihin. SQL-injektion kautta hyökkääjä voi esimerkiksi yrittää lukea tietoja, joihin hänellä ei normaalisti ole pääsyä.

Haavoittuvuuksia ketjuttamalla hyökkääjä pystyi luomaan sivustolle järjestelmänvalvojan tunnuksen ja suorittamaan sen kautta omaa koodiaan palvelimella. Tätä kutsutaan etäkoodin suorittamiseksi eli RCE (Remote Code Execution).

Hyökkäys ei edellyttänyt kirjautumista sivustolle eikä haavoittuvien lisäosien asentamista. Tämä teki siitä erityisen vakavan.

Wordfencen teknisen analyysin mukaan wp2shell-hyökkäysketju koski WordPress-versioita 6.9.0–6.9.4 ja 7.0.0–7.0.1. SQL-injektiohaavoittuvuus koski lisäksi versioita 6.8.0–6.8.5.

Korjaukset julkaistiin WordPress-versioihin 6.8.6, 6.9.5 ja 7.0.2. Haavoittuvuuden vakavuuden vuoksi WordPress otti käyttöön myös pakotettuja automaattipäivityksiä.

Jos sivustosi WordPress-versio on vanha, se kannattaa päivittää viipymättä uusimpaan vakaaseen versioon. Pelkkä tieto automaattipäivitysten käyttöönotosta ei riitä, sillä päivityksen onnistuminen on syytä varmistaa. Päivityksen yhteydessä on myös tarkistettava, että sivusto ja sen toiminnallisuudet toimivat edelleen oikein.

Miksi wp2shell oli poikkeuksellisen vakava haavoittuvuus?

WordPressin tietoturvahaavoittuvuudet liittyvät usein lisäosiin tai teemoihin. Silloin riski koskee sivustoja, joilla kyseinen lisäosa tai teema on käytössä.

Wp2shell löytyi WordPressin ytimestä eli julkaisujärjestelmän perustoiminnallisuuksista. Haavoittuvuus saattoi siis koskea myös sivustoja, joilla oli käytössä vain vähän huolellisesti valittuja lisäosia.

Toinen merkittävä tekijä oli hyökkäysten nopeus. Wordfencen mukaan hyökkääjät alkoivat kohdistaa yrityksiä haavoittuviin WordPress-sivustoihin jo 17. heinäkuuta, samana päivänä kuin korjauspäivitykset julkaistiin. Laajamittainen hyväksikäyttö alkoi seuraavana päivänä. Wordfence kertoi torjuneensa yli 11 miljoonaa wp2shell-haavoittuvuuteen liittyvää hyökkäysyritystä.

Luku kuvaa hyökkäysyritysten suurta määrää. Onnistuneiden tietomurtojen määrä oli onneksi huomattavasti pienempi.

Tekoäly nopeuttaa myös tietoturvahaavoittuvuuksien löytämistä

Kesän 2026 tapahtumissa tekoälyllä oli merkittävä rooli. Searchlight Cyberin tietoturvatutkija Adam Kues löysi wp2shell-hyökkäysketjun hyödyntämällä OpenAI GPT-5.6 Sol Ultra -mallia. Tutkijan mukaan tekoälyn avulla hyökkäysketjun löytäminen ja toimivan hyökkäyksen rakentaminen onnistui noin kymmenessä tunnissa.

Dark Readingin artikkelissa käsitellään tarkemmin tekoälyn roolia haavoittuvuuden löytämisessä. Tekoäly nopeuttaa tietoturvatutkijoiden työtä, mikä auttaa löytämään ja korjaamaan haavoittuvuuksia aikaisemmin. Samoja mahdollisuuksia voivat kuitenkin valitettavasti hyödyntää myös hyökkääjät.

Haavoittuvuuksien etsiminen, hyökkäyskoodin kehittäminen ja hyökkäysten automatisointi onnistuvat aiempaa nopeammin. Käytännössä sivuston ylläpitäjälle voi jäädä hyvin vähän aikaa reagoida uuteen tietoturvauhkaan.

WordPress-sivustoja murrettiin myös Suomessa

Kyse ei ollut pelkistä hyökkäysyrityksistä. Kyberturvallisuuskeskuksen heinäkuussa julkaistun haavoittuvuustiedotteen 18/2026 mukaan wp2shell-haavoittuvuutta käytettiin onnistuneisiin tietomurtoihin myös Suomessa. Kyberturvallisuuskeskus kehotti asentamaan korjauspäivitykset välittömästi ja tutkimaan haavoittuville sivustoille mahdollisesti tehdyt tietomurrot.

Tilanne jatkui myös kesän edetessä. Traficomin elokuussa julkaiseman uutisen mukaan WordPress-sivustoihin oli kohdistunut hyökkäyksiä jo keväällä, erityisesti lisäosien haavoittuvuuksien kautta. Kesällä hyökkääjät alkoivat hyödyntää myös WordPressin ytimen kriittistä haavoittuvuutta.

Kyberturvallisuuskeskus muistutti samalla sivustojen ja lisäosien päivittämisestä, tarpeettomien lisäosien ja käyttäjätilien poistamisesta sekä haavoittuvuuksien aktiivisesta seuraamisesta.

Mitä WordPress-sivuston tietomurrosta voi seurata?

Tietomurto ei välttämättä näy sivuston ulkoasussa tai toiminnassa heti. Hyökkääjä voi päästä käsiksi sivuston tietoihin ja jättää sinne haitallista koodia, vaikka sivusto näyttäisi vierailijalle täysin normaalilta.

Kesän wp2shell-hyökkäyksissä havaittiin useita tapoja hyödyntää murrettuja sivustoja. Wordfencen ja Wizin tutkimuksissa nousivat esiin esimerkiksi seuraavat toimintatavat:

• Takaovien asentaminen. Hyökkääjä saattoi jättää sivustolle web-shellin eli palvelimella toimivan haitallisen ohjelman tai naamioida haitallista koodia tavalliseksi lisäosaksi. Takaoven kautta hyökkääjä pystyy palaamaan sivustolle myöhemmin, vaikka alkuperäinen haavoittuvuus olisi jo korjattu.
• Ylimääräisten pääkäyttäjätunnusten luominen. Hyökkääjä saattoi luoda WordPressiin uuden järjestelmänvalvojan tunnuksen. Sen avulla hän pystyy muuttamaan sivuston sisältöjä, asentamaan lisäosia ja hallitsemaan sivustoa laajoilla käyttöoikeuksilla.
• Sivuston kävijöihin kohdistuvat huijaukset. Murretulle sivustolle voidaan lisätä väärennettyjä kirjautumissivuja, jotka jäljittelevät esimerkiksi Microsoft 365 tai Googlen kirjautumista. Niiden avulla hyökkääjät yrittävät varastaa kävijöiden tunnuksia tai ohjata heitä haitallisille verkkosivuille.

Pelkkä tietoturvapäivitys ei välttämättä riitä

Jos hyökkääjä on jo ehtinyt murtautua sivustolle, haavoittuvuuden korjaaminen ei automaattisesti poista hänen tekemiään muutoksia. Sivustolle voi jäädä takaovia, haitallisia tiedostoja tai ylimääräisiä käyttäjätunnuksia, joiden avulla hyökkääjä pääsee takaisin järjestelmään.

Siksi tietomurtoa epäiltäessä on tärkeää tutkia myös hyökkäyksen mahdollisesti jättämät jäljet. Tarkistettavia asioita ovat esimerkiksi tuntemattomat admin-tunnukset, epäilyttävät lisäosat, poikkeavat PHP-tiedostot, ajastetut tehtävät ja palvelimen lokitiedot. PHP on ohjelmointikieli, jolla suuri osa WordPressin toiminnallisuuksista toteutetaan.

Lokitiedoista voidaan selvittää esimerkiksi, millaisia pyyntöjä palvelimelle on lähetetty ja onko sivustolla esiintynyt poikkeavaa toimintaa. Tietomurron tutkinta ja sivuston puhdistaminen kannattaa aina jättää asiantuntijalle. Haitallisen koodin poistamisen lisäksi voi olla tarpeen vaihtaa salasanoja ja salaisia avaimia sekä palauttaa sivusto luotettavasta varmuuskopiosta.

Näin WordPress-sivuston tietoturvasta huolehditaan käytännössä

WordPress-sivuston suojaamiseen kuuluu useita toimenpiteitä, joita on toteutettava ja seurattava säännöllisesti. Seuraavan listan avulla voit arvioida oman sivustosi tietoturvan nykytilaa ja sitä, onko huolenpidosta sovittu riittävän kattavasti.

1. Pidä WordPress, teemat ja lisäosat ajan tasalla

WordPressin ja sen lisäosien päivitykset sisältävät usein tietoturvakorjauksia, joilla estetään tunnettujen haavoittuvuuksien hyödyntäminen.

Automaattipäivitykset voivat nopeuttaa korjausten asentamista, mutta niiden toiminta on varmistettava. Päivityksissä voi myös ilmetä yhteensopivuusongelmia, jotka vaikuttavat sivuston ulkoasuun tai toiminnallisuuksiin.

Ammattimaisessa huolenpidossa päivitysten vaikutukset tarkistetaan ja mahdolliset ongelmat korjataan. Kriittisiin tietoturvapäivityksiin pitää pystyä reagoimaan nopeasti.

2. Poista tarpeettomat lisäosat ja teemat

Jokainen sivustolle asennettu lisäosa voi sisältää haavoittuvuuksia. Mitä enemmän lisäosia sivustolla on, sitä enemmän niiden päivittämistä, yhteensopivuutta ja tietoturvaa täytyy seurata.

Tarpeettomat lisäosat ja teemat kannattaa poistaa kokonaan. Pelkkä käytöstä poistaminen ei välttämättä riitä, sillä niiden tiedostot voivat edelleen sijaita palvelimella.

Lisäosien määrän lisäksi on tärkeää arvioida niiden laatua, kehittäjien aktiivisuutta ja saatavilla olevia päivityksiä.

3. Vahvista käyttäjätunnusten tietoturvaa

Heikot tai useassa palvelussa käytetyt salasanat lisäävät riskiä, että hyökkääjä pääsee käsiksi WordPressin hallintaan.

Käytä vahvoja ja yksilöllisiä salasanoja, salasanojen hallintapalvelua sekä kaksivaiheista tunnistautumista eli MFA. Kaksivaiheinen tunnistautuminen edellyttää salasanan lisäksi toista vahvistustapaa, esimerkiksi puhelinsovelluksella tuotettua kertakäyttöistä koodia.

Myös käyttäjien oikeudet kannattaa rajata heidän tehtäviensä mukaan. Kaikki sisällöntuottajat eivät tarvitse järjestelmänvalvojan oikeuksia. Tarpeettomat ja vanhat käyttäjätunnukset on lisäksi syytä poistaa säännöllisesti.

WordPressin hallintapaneelin ja rajapintojen kautta tapahtuvaa liikennettä kannattaa myös rajoittaa tarpeen mukaan. Esimerkiksi kirjautumisyritysten määrää voidaan rajoittaa automaattisten salasanahyökkäysten torjumiseksi. XML-RPC-rajapinta voidaan poistaa käytöstä, jos sivuston toiminnallisuudet eivät tarvitse sitä.

Lisäksi WordPressin hallintapaneelissa oleva teema- ja lisäosatiedostojen editori kannattaa poistaa käytöstä, jotta mahdollisen tietomurron yhteydessä hyökkääjä ei pääse yhtä helposti muokkaamaan sivuston PHP-koodia.

4. Ota käyttöön WAF eli sovelluspalomuuri

WAF (Web Application Firewall) on sovelluspalomuuri, joka tarkastelee verkkosivustolle tulevia HTTP- ja HTTPS-pyyntöjä ja pyrkii estämään haitallisen liikenteen.

Esimerkiksi wp2shell-haavoittuvuuden kohdalla yhtenä väliaikaisena suojauskeinona oli estää anonyymi pääsy WordPressin REST API:n batch-rajapintaan WAF-säännöillä, kunnes tietoturvapäivitys saatiin asennettua. Rajapintojen rajoitukset on kuitenkin suunniteltava sivustokohtaisesti, jotta ne eivät estä tarpeellisia toiminnallisuuksia.

WAF-suojauksia tarjoavat esimerkiksi Cloudflare, Sucuri ja Wordfence. Cloudflare tarjoaa myös CDN-palvelun (Content Delivery Network), joka jakaa verkkosivuston sisältöjä eri palvelimilta ja voi parantaa sivuston latausnopeutta, sekä suojausta palvelunestohyökkäyksiä vastaan.

WAF ei kuitenkaan tunnista kaikkia hyökkäyksiä, joten suojaussääntöjä on päivitettävä uusien uhkien mukaan.

Hurjan palvelinympäristöissä WAF-suojaus kuuluu vakiona. Se on osa sivustojen tietoturvaa, jota kehitämme jatkuvasti uusien haavoittuvuuksien, hyökkäystapojen ja teknologioiden myötä.

5. Huolehdi palvelinympäristön tietoturvasta

WordPressin tietoturvaan vaikuttaa myös se, millaisessa palvelinympäristössä sivusto toimii. Turvalliseen ympäristöön kuuluvat esimerkiksi palvelimen palomuurit, säännölliset käyttöjärjestelmä- ja ohjelmistopäivitykset, haittaohjelmien tunnistaminen sekä HTTPS-yhteyden mahdollistava SSL/TLS-sertifikaatti.

Myös palvelimella käytettävän PHP-version tietoturvasta on huolehdittava, sillä WordPressin omat päivitykset eivät korjaa PHP-ohjelmointikielen haavoittuvuuksia. Kriittiset tietoturvapäivitykset voivat edellyttää nopeita palvelintason toimenpiteitä sekä sivuston toimivuuden tarkistamista päivitysten jälkeen.

Kehitys- ja tuotantoympäristöjen eriyttäminen on tärkeää. Kun uusia toiminnallisuuksia ja merkittäviä päivityksiä voidaan testata erillisessä ympäristössä, pienenee riski, että muutokset aiheuttavat ongelmia käytössä olevalle sivustolle.

Suosittelemme myös palvelinten sijoittamista Suomeen. Hurjalla käytämme esimerkiksi kotimaisessa datakeskuksessa sijaitsevia Hetznerin virtuaalipalvelimia, kuten kerromme vastuullisuussivuillamme. Palvelinten sijainnin lisäksi on huomioitava palveluntarjoajan tietoturvakäytännöt, varmuuskopiointi ja tietojen käsittely.

6. Varmuuskopioi sivusto ja testaa palauttaminen

Säännölliset varmuuskopiot ovat tärkeä osa varautumista tietomurtoihin ja muihin ongelmatilanteisiin.

Varmuuskopioinnin tulee kattaa sivuston tiedostot ja tietokanta. Kopiot on säilytettävä erillään varsinaisesta sivustosta, jotta ne eivät katoa tai vahingoitu saman tietomurron tai palvelinhäiriön yhteydessä.

Monille sivustoille päivittäinen automaattinen varmuuskopiointi on hyvä lähtökohta. Sopiva varmuuskopiointiväli riippuu kuitenkin siitä, kuinka usein sivuston tiedot muuttuvat.

Varmuuskopioiden olemassaolon lisäksi pitää varmistaa, että sivusto pystytään palauttamaan niiden avulla. Palauttamista on siksi myös testattava.

7. Seuraa sivuston toimintaa ja tietoturvapoikkeamia

Säännöllinen tietoturvaskannaus auttaa löytämään haitallisia tiedostoja, tunnettuja haavoittuvuuksia ja muita epäilyttäviä muutoksia.

Palvelinlokien seurannasta voidaan havaita esimerkiksi poikkeuksellisen paljon kirjautumisyrityksiä, epäilyttäviä rajapintakutsuja tai muuta tavallisesta poikkeavaa liikennettä.

WordPressin sisäisellä aktiviteettilokilla voidaan puolestaan seurata hallintapaneelissa tehtyjä muutoksia, kuten käyttäjien kirjautumisia, uusien käyttäjätunnusten luomista ja lisäosien asentamista. Esimerkiksi wp2shell-hyökkäyksissä sivustolle saatettiin luoda ylimääräinen järjestelmänvalvojan tunnus, jonka syntyminen olisi mahdollista havaita aktiviteettilokista.

Lokien avulla poikkeavien tapahtumien selvittäminen on helpompaa, kunhan lokitiedot säilyvät luotettavasti myös mahdollisen tietomurron jälkeen.

Kaikkia tietomurtoja ei huomata heti eikä yksittäinen skannaus takaa sivuston turvallisuutta. Siksi seurannan pitää olla jatkuvaa ja havaittuihin ongelmiin tulee pystyä reagoimaan nopeasti.

Asiantuntijan tehtävänä on myös arvioida, mitkä havainnot vaativat välittömiä toimenpiteitä ja mitkä voidaan käsitellä normaalin huolenpidon yhteydessä.

8. Selvitä sivuston nykytila auditoinnilla

Jos et tiedä, missä kunnossa sivustosi tietoturva on, perusteellinen auditointi auttaa tunnistamaan mahdolliset riskit.

WordPress-sivuston auditoinnissa voidaan selvittää esimerkiksi vanhentuneet ohjelmistoversiot, haavoittuvat lisäosat, tietoturvaan liittyvät puutteet ja mahdolliset henkilötietojen käsittelyyn liittyvät riskit.

Auditoinnin perusteella voidaan suunnitella tarvittavat korjaukset ja arvioida, miten sivuston jatkuva huolenpito kannattaa järjestää.

9. Tee varautumissuunnitelma tietomurron varalle

Kaikkia tietomurtoja ei pystytä estämään ennalta, joten mahdollisiin ongelmatilanteisiin on tärkeää varautua jo etukäteen. Selkeä toimintasuunnitelma nopeuttaa reagointia ja auttaa rajoittamaan vahinkoja.

Suunnitelmassa kannattaa määritellä, kuka vastaa tietoturvapoikkeamien selvittämisestä, kehen otetaan yhteyttä ja miten sivusto voidaan tarvittaessa sulkea tilapäisesti tai eristää verkosta. Lisäksi on varmistettava, mistä sivusto voidaan palauttaa ja miten palautus toteutetaan turvallisesti. Jos tietomurto koskee henkilötietoja, on myös arvioitava mahdolliset tietosuojalainsäädännön mukaiset ilmoitusvelvollisuudet.

Asiantuntijan kanssa sovittu toimintamalli helpottaa tilanteen hoitamista, sillä tietomurron sattuessa aikaa ei tarvitse käyttää vastuuhenkilöiden etsimiseen tai tarvittavien toimenpiteiden suunnitteluun alusta asti.

WordPress-huolenpitopalvelu pitää tietoturvan ajan tasalla

Uudenlaiset hyökkäysaallot osoittavat konkreettisesti, kuinka nopeasti WordPress-sivustojen tietoturvatilanne voi muuttua ja miten vähän aikaa uusiin uhkiin reagoimiseen voi jäädä. Sivuston tietoturvasta huolehtiminen vaatii jatkuvaa asiantuntemusta, mutta kaikkea ei tarvitse osata tai tehdä itse. Tärkeintä on, että sivuston tietoturvasta vastaa asiantuntija, jolla on osaaminen ja valmius toimia nopeasti.

Lokakuun PHP-haavoittuvuudet työllistivät myös Hurjan tiimiä. Kun korjaukset alkoivat tulla saataville 21.10.2026 noin klo 17 Suomen aikaa, asiantuntijamme jatkoivat palvelinten päivittämistä pitkälle iltaan. Suurin osa hallinnoimistamme palvelimista saatiin päivitettyä saman illan aikana, ja loput suojattiin muilla keinoin. Tilanteen seuranta ja jäljellä olevat päivitykset jatkuivat myös seuraavina päivinä.

Meillä Hurjalla WordPress-asiantuntijamme huolehtivat asiakkaidemme sivustojen päivityksistä, tietoturvaskannauksista ja varmuuskopioinnista osana WordPress-huolenpitopalveluamme. Suomessa sijaitsevilla palvelimillamme WAF-suojaus kuuluu vakiona. Kehitämme jatkuvasti myös tietoturvakäytäntöjämme ja teknisiä ratkaisujamme uusien uhkien ja hyökkäystapojen perusteella.

Jos sivustollasi on tällä hetkellä vain hosting-palvelu eikä kukaan vastaa WordPressin jatkuvasta huolenpidosta, asia kannattaa laittaa kuntoon mahdollisimman pian. Asiantuntijan huolehtiessa ylläpidosta voit keskittyä omaan liiketoimintaasi ja luottaa siihen, että sivustosi tietoturvasta pidetään huolta.

Tarvitsetko WordPress-sivustollesi huolenpitoa tai haluatko selvittää sen tietoturvan nykytilan? Ota yhteyttä, niin autamme löytämään sivustollesi sopivan ratkaisun.