Tällä viikolla PHP-ohjelmointikielestä paljastui kaksi kriittistä tietoturvahaavoittuvuutta, joihin julkaistiin korjaukset 21.10.2026. PHP:tä käytetään muun muassa WordPressissä. WordPress on ohjelmisto, jolla yritys voi julkaista ja muokata verkkosivujensa sisältöjä. Se tarvitsee PHP:tä toimiakseen.
CERT-EU:n tietoturvatiedotteen mukaan haavoittuvuudet voivat antaa hyökkääjälle mahdollisuuden suorittaa omia ohjelmiaan palvelimella. Palvelin on tietokone, jolta verkkosivut välitetään kävijöiden selaimiin.
Tietoturva-aukkoja löytyy jatkuvasti, ja tekoäly voi nopeuttaa niiden etsimistä niin tietoturvatyössä kuin hyökkääjien käsissä. Samalla se voi vähentää hyökkäykseen tarvittavaa aikaa ja osaamista. Kun hyökkääjän työmäärä pienenee, myös pienten sivustojen hyväksikäyttö voi olla aiempaa kannattavampaa.
Milloin tällainen uutinen sitten koskee tavallista palveluyritystä? Esimerkiksi silloin, kun sen WordPress-sivusto käyttää haavoittuvaa PHP-versiota ja haavoittuvuuden muut edellytykset täyttyvät. Pelkkä WordPressin käyttö ei siis kerro, onko juuri oma sivusto vaarassa. Harva yrittäjä ehtii selvittää näitä asioita muun liiketoiminnan ohessa. Siksi osaava ylläpitokumppani on arvokas: hän selvittää, koskeeko haavoittuvuus sivustoa, ja huolehtii tarvittavista päivityksistä. Julkaistu korjaus ei auta, jos se jää asentamatta.
15 vuotta verkkosivujen parissa on opettanut yhden asian
Olen työskennellyt verkkosivujen kanssa noin 15 vuotta. Sinä aikana olen nähnyt ja käynyt läpi lukemattomia yritysten verkkosivustoja, mutta mieleeni tulee vain yksi sivusto, jonka tekninen ylläpito oli oikeasti hyvällä tasolla.
Yksi.
Tämä ei tietenkään ole mikään tieteellinen otos suomalaisista yrityksistä, mutta kertoo jotain siitä, millaiseen tilanteeseen olen omassa työssäni toistuvasti törmännyt.
Yleisin ongelma on yksinkertainen: verkkosivut julkaistaan, minkä jälkeen niiden tekninen ylläpito käytännössä unohtuu. Ylläpidolla tarkoitan tässä sivuston ja sen tarvitsemien ohjelmistojen päivittämistä sekä sen tarkistamista, että sivusto toimii myös päivitysten jälkeen.
WordPress on päivittämättä, ja sen lisäosista löytyy vuosia vanhoja versioita. Lisäosat ovat erillisiä ohjelmia, joilla sivustolle lisätään esimerkiksi yhteydenottolomake tai ajanvaraus.
Palvelimella saattaa pyöriä PHP-versio, jonka tuki on päättynyt aikoja sitten. Tämä tarkoittaa, etteivät PHP:n omat kehittäjät enää julkaise kyseiselle versiolle tietoturvapäivityksiä.
Yhden osan päivittäminen ei siis vielä tarkoita, että koko sivuston ylläpito olisi hoidettu. Lähes aina jotain on jäänyt tekemättä.
Eikä ongelma rajoitu tietoturvaan.
Olen törmännyt toistuvasti yhteydenottolomakkeisiin, jotka näyttävät toimivan mutta eivät koskaan toimita viestejä perille. Evästebannerit saattavat olla pelkkää silmänlumetta: ne näyttävät kysyvän suostumusta, vaikka seuranta käynnistyy ennen hyväksyntää tai jatkuu kiellosta huolimatta.
Monet näistä sivustoista näyttävät ulospäin aivan tavallisilta. Sivut avautuvat, kuvat latautuvat ja navigaatio toimii. Kun sisältöjä ei tarvitse muuttaa eikä mikään näytä olevan rikki, yrittäjällä ei välttämättä ole syytä epäillä ongelmaa.
Mutta se, että verkkosivut näkyvät selaimessa, ei vielä tarkoita, että ne toimivat oikein. Eikä varsinkaan sitä, että ne ovat turvalliset.
Hyökkääjien työ nopeutuu, mutta pysyvätkö verkkosivut mukana?
Päivittämättömiä sivustoja ei tarvitse etsiä käsin. Hakkerit ovat jo pitkään käyttäneet ohjelmistoja, jotka käyvät automaattisesti läpi internetistä löytyviä sivustoja ja etsivät niistä tunnettuja tietoturva-aukkoja. Kaikki hakkerit eivät ole rikollisia: samoja menetelmiä käytetään myös luvallisessa tietoturvatestauksessa.
Hyökkääjän ei siis tarvitse tietää yrityksesi nimeä, toimialaa tai liikevaihtoa. Riittää, että hänen käyttämänsä ohjelma löytää sivustoltasi puutteen, jota voidaan hyödyntää. Tästä syystä pienikin yritys voi joutua kohteeksi.
Hyökkäysten nopeutumisesta on jo konkreettisia esimerkkejä. Googlen Threat Intelligence Groupin syyskuussa 2026 julkaisemassa raportissa kuvataan tapaus, jossa hyökkääjät murtautuivat pilvipalveluun ja käynnistivät sen jälkeen alle kuudessa tunnissa laajan hyökkäyksen käyttäjätunnusten ja salasanojen keräämiseksi. He käyttivät apunaan tekoälyn ohjaamia ohjelmistoja.
“Eihän meidän verkkosivuilla ole mitään varastettavaa”
Tämä on ymmärrettävä ajatus erityisesti pienessä palveluyrityksessä. Jos verkkosivuilla ei säilytetä asiakkaiden maksutietoja, salasanoja tai muita arkaluonteisia tietoja, mitä hyötyä niiden hakkeroinnista voisi olla?
Yllättävän paljonkin.
Yrityksesi verkkosivut ovat saattaneet vuosien aikana saada linkkejä muilta sivustoilta ja rakentaa asemaansa Googlessa. Tätä asemaa rikollinen voi yrittää hyödyntää oman sivustonsa nostamiseen hakutuloksissa.
Hyökkääjä voi esimerkiksi murtautua konepajan verkkosivuille ja lisätä niiden lähdekoodiin piilotettuja linkkejä rahapelisivustoille. Linkkien tarkoitus on saada rahapelisivusto näyttämään Googlen silmissä suositummalta. Tällaista hakutulosten manipulointia kutsutaan black hat -hakukoneoptimoinniksi.
Kaikki tämä voi tapahtua yrittäjän huomaamatta. Sivuston ulkoasu ei välttämättä muutu, eikä asiakas välttämättä huomaa mitään poikkeavaa.
Googlen roskasisältökäytännöissä kuvataan piilotettujen linkkien ja hakkeroitujen sivustojen väärinkäyttöä. Hakkerointi voi heikentää yrityksen näkyvyyttä tai johtaa sivujen poistumiseen hakutuloksista, vaikka yhtäkään asiakastietoa ei olisi varastettu.
Ja tämä on vain yksi esimerkki.
Hakkeroitua sivustoa voidaan käyttää haittaohjelmien levittämiseen, asiakkaiden ohjaamiseen huijaussivuille tai tietojen kalasteluun. Verkkokaupassa rikollinen voi pyrkiä varastamaan maksutietoja, ja pahimmillaan sivusto voidaan tehdä kokonaan käyttökelvottomaksi.
Seuraukset eivät ole pelkästään teknisiä. Ne voivat tarkoittaa menetettyä myyntiä, kadonneita yhteydenottoja, mainehaittaa ja huomattavia korjauskustannuksia.
Yritys on saattanut käyttää vuosia hakukonenäkyvyytensä rakentamiseen ja tuhansia euroja markkinointiin. Silti koko asiakashankinnan perustana olevan verkkosivuston tekninen ylläpito saattaa olla hoitamatta.
Minusta tässä on melkoinen ristiriita.
Verkkosivut ostetaan projektina, vaikka niitä käytetään jatkuvana palveluna
Yksi syy ylläpidon laiminlyöntiin on tapa, jolla verkkosivuja ostetaan ja myydään.
Yritys tilaa verkkosivut. Suunnitellaan ulkoasu, kirjoitetaan sisällöt, rakennetaan sivusto ja julkaistaan se. Projekti valmistuu, lasku maksetaan ja molemmat osapuolet siirtyvät seuraaviin töihin.
Mutta verkkosivut eivät lakkaa olemasta projektin päätyttyä.
Asiakas saattaa olettaa, että verkkosivujen tekijä huolehtii päivityksistä. Tekijä puolestaan voi olettaa, että asiakas vastaa itse sivustostaan sen julkaisun jälkeen. Palvelintilan tarjoaja pitää ehkä huolta tietokoneesta, jolla sivusto sijaitsee, mutta WordPressin ja sen lisäosien päivittäminen ei välttämättä kuulu sen palveluun. Pelkkä WordPressin päivittäminen ei puolestaan päivitä palvelimen PHP:tä.
Lopputuloksena kukaan ei välttämättä vastaa kokonaisuudesta.
Tässä mielessä en pidä verkkosivujen ylläpitoa pelkkänä teknisenä kysymyksenä. Se on ennen kaikkea vastuunjakoon liittyvä kysymys.
Mitä ylläpidosta pitää sopia?
En tietenkään ajattele, että yrittäjän pitäisi itse opetella PHP:n päivittämistä, palvelimien hallintaa tai tietoturva-aukkojen tutkimista. Yrittäjällä on yleensä aivan riittävästi muutakin tekemistä.
Ylläpitäjältä voi kuitenkin pyytää selkeät vastaukset näihin kysymyksiin:
- Mitkä sivuston ja palvelimen ohjelmistot ylläpitäjä päivittää, ja kuka huolehtii muista?
- Tarkistetaanko päivitysten jälkeen, että sivusto toimii ja yhteydenottolomakkeiden viestit tulevat perille?
- Otetaanko sivustosta varmuuskopiot eli palautettavat kopiot sen tiedostoista ja sisällöistä, ja onko niiden toimivuus tarkistettu?
- Keneen otat yhteyttä häiriössä, ja kuka palauttaa sivuston toimintakuntoon, jos jotain menee pieleen?
Me Revlalla pyrimme pitämään sivuston tarvitsemien erillisten ohjelmistojen määrän mahdollisimman pienenä, jotta ylläpidettävää olisi vähemmän. Huolehdimme asiakkaidemme puolesta sovitusta teknisestä ylläpidosta.
Verkkosivujen tarkoitus on kuitenkin auttaa yritystä saamaan asiakkaita ja kasvattamaan liiketoimintaa, ei tuoda yrittäjälle uutta teknistä huolenaihetta.
Tiedätkö sinä, kuka yrityksesi verkkosivuja ylläpitää ja mitä ylläpito oikeasti sisältää?
Jos vastaus on epäselvä, asia kannattaa selvittää ennen seuraavaa kriittistä haavoittuvuutta.
Tutustu Revlan verkkosivupalveluun tai ota yhteyttä, niin katsotaan yhdessä, miten yrityksesi verkkosivujen ylläpito kannattaa järjestää.