Tässä osiossa käydään läpi tunnettuja kriittisiä WordPress-haavoittuvuuksia. Huomioithan, että asiakas on yksin vastuussa oman sivustonsa ylläpidosta, päivityksistä, ajantasaisuudesta sekä yleisestä tietoturvasta. Suosittelemme pitämään WordPress-järjestelmän, teemat ja lisäosat aina uusimmissa versioissaan sekä hyödyntämään tietoturvaa parantavia lisäosia suojauksen varmistamiseksi.
Kyberturvallisuuskeskuksen WordPress-tietoturvaopas tarjoaa käytännönläheisiä ohjeita ja parhaita käytäntöjä julkaisujärjestelmän suojaamiseen sekä haavoittuvuuksien hallintaan:
https://kyberturvallisuuskeskus.fi/fi/ohjeet-ja-oppaat/ohjeet-ja-oppaat-organisaatioille-ja-yrityksille/vinkkeja-wordpress-julkaisujarjestelman-tietoturvaan
/
22. Syyskuu 2026
WP Haavoittuvuus CVE-2026-87902.
CVSS (Common Vulnerability Scoring System) -pisteet ovat 9.2 (Kriittinen).
Kriittinen tietoturvahaavoittuvuus (CVE-2026-87902) koskee WordPress-versioita 4.7.0–7.1.1 ja se voi tietyissä olosuhteissa mahdollistaa etäkoodin suorittamisen. Tämän haavoittuvuuden tekee vakavaksi se, että se koskee WordPressin ydintä eikä yksittäistä valinnaista lisäosaa tai teemaa. Hyökkääjän ei tarvitse tunnistautua, suostutella ylläpitäjää klikkaamaan linkkiä tai löytää erillistä oikeuksien korottamiseen liittyvää haavoittuvuutta päästäkseen käsiksi haavoittuvaan sivupohjalogiikkaan.
Kriittisessä polunselaushaavoittuvuudessa WordPressin ytimen sivupohjien selvitysmekanismissa yksi tunnistautumaton pyyntö voi saada sivuston sisällyttämään paikallisen PHP-tiedoston teeman ulkopuolelta, joka voi tietyissä kokoonpanoissa johtaa etäkoodin suorittamiseen (RCE). Haavoittuvuuden hyödynnettävyys riippuu käytössä olevasta teemasta ja palvelinympäristöstä. Haavoittuvuus on kriittinen, mikäli käytössä oleva pää- tai aliteema sisältää page-alkuisen päähakemiston (kuten page-templates) ja jos palvelimella on paikallisesti sellainen PHP-tiedosto, jota verkkopalvelin pystyy lukemaan. Jos tämä tiedosto suorittaa hyökkääjälle hyödyllisiä komentoja, kun se ajetaan, sivusto on altis koodinsuoritukselle.
WordPress.org on julkaissut tietoturvakorjaukset (backportit) myös vanhempiin versioihin, aina versiosta 4.7 lähtien. Suosittelemme päivittämään WordPress-ytimen välittömästi ja siirtymään viimeisimpään versioon 7.1.2 tai aikaisempaa versiota käyttävän sivuston haaran korjattuun julkaisuun ja tarkistamaan käynnissä oleva versio käyttöönoton jälkeen. Kunnes päivitys on asennettu, tarkista käyttölokit epätavallisten sivunimipyyntöjen varalta, jotka sisältävät merkkejä hakemistopoluissa liikkumisesta. Tarkista myös kaikki WordPress-asennukset, mukaan lukien testisivustot ja vanhemmat versiosarjat, joita päätuotantopäivitysprosessi ei välttämättä kata.
WordPress.org muistuttaa, että vain 7.1-sarjan uusin versio on aktiivisen ylläpidon piirissä. Aiemmat korjaukset toimitettiin ylimääräisinä tietoturvapäivityksinä (ns. backport-päivityksinä). Vanhempaa versiosarjaa käyttävien sivustojen tulisi asentaa saatavilla oleva tietoturvapäivitys välittömästi ja suunnitella siirtymistä versioon, joka on tällä hetkellä ylläpidon piirissä.
WordPressin tietoturvapäivitys 7.1.2:
https://wordpress.org/news/2026/09/wordpress-7-1-2-release/
/
17. Heinäkuu 2026
WP Haavoittuvuus “wp2shell” CVE-2026-63030 ja CVE-2026-60137.
CVSS (Common Vulnerability Scoring System) -pisteet ovat 9.8 (Kriittinen).
Heinäkuussa 2026 julkaistu wp2shell on WordPressin ydinkoodista löytynyt vakava tietoturvahaavoittuvuus, joka yhdistää REST-rajapinnan ja WP_Query-kyselyiden virheet. Uhka mahdollistaa sivuston täydellisen haltuunoton ilman kirjautumistietoja tai käyttäjän toimenpiteitä, ja se koskee versioita 6.9.0–6.9.4 sekä 7.0.0–7.0.1. Vaikka WordPress.org toteutti pakotettuja automaattipäivityksiä, sivustojen ylläpitäjien tulee varmistaa, ettei sivustolta löydy merkkejä tietomurrosta. Tarkista siksi asennuksesi versio ja asenna puuttuvat päivitykset välittömästi.
WordPress-sivuston turvallisuustilanne voidaan selvittää tarkistamalla sen versionumero esimerkiksi hallintapaneelista tai virallisesta WordPress-lisäosahakemistosta löytyvällä Compromise Scanner for wp2shell-lisäosalla. Mikäli välitön päivitys ei ole mahdollista, batch-päätepisteen anonyymi käyttö voidaan tilapäisesti estää palomuurilla tai lisäosalla sivuston toiminnan häiriöriskistä huolimatta.
Sivuston päivittäminen ei yksin riitä takaamaan turvallisuutta, sillä murto on voitu toteuttaa jo ennen suojauksien ajan tasalle saattamista. Mahdollinen wp2shell-hyökkäys on syytä tarkistaa havainnoimalla vieraiden ylläpitäjätunnuksien, /wp-content/cache/ -kansioon ilmestyneiden luvattomien PHP-tiedostojen, luvattomien laajennusten sekä puutteellisten lokitietojen olemassaoloa.
Onnistuneen wp2shell-murron jälkeen on ensin otettava koskemattomat kopiot tiedostoista ja tietokannasta talteen myöhempää selvitystä varten, minkä jälkeen sivusto tulee palauttaa ennen 17.7.2026 otettuun varmuuskopioon ja päivittää välittömästi. Kaikki salasanat, tietoturva-avaimet sekä integraatioiden tunnukset on vaihdettava heti, vaikka skanneri toteaisi sivuston puhtaaksi. Voit lukea haavoittuvuudesta ja toimenpiteistä tarkemmin esimerkiksi Kyberturvallisuuskeskuksen sivustolla.
Kyberturvallisuuskeskuksen artikkeli haavoittuvuudesta:
https://kyberturvallisuuskeskus.fi/fi/haavoittuvuudet/haavoittuvuus-2026-18
WordPressin tietoturvapäivitys 7.0.2:
https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
Compromise Scanner for wp2shell -lisäosa (suomenkielinen sivu):
https://fi.wordpress.org/plugins/compromise-scanner-for-wp2shell/
/
ClickFix
Sosiaalisen manipuloinnin hyökkäystekniikka (social engineering technique).
Hyökkääjät käyttävät ClickFix-haittaohjelmasivujen levittämiseen WordPressin omia tai sen lisäosien haavoittuvuuksia sekä vuodettuja ylläpitäjätunnuksia.
Verkkomaailmassa leviää ClickFix-nimellä tunnettu hyökkäystekniikka, jossa rikolliset pyrkivät kaappaamaan WordPress-sivustoja ja valjastamaan ne haittaohjelmien levittämiseen. Kyberturvallisuuskeskus on varoittanut ilmiön yleistymisestä myös suomalaisilla .fi-sivustoilla.
Hyökkääjät etsivät WordPress-sivustoista päivittämättömiä lisäosia tai teemoja ja murtautuvat niiden kautta sivuston hallintaan. Tämän jälkeen sivustolle syötetään haitallista koodia, joka muuttaa sivun ulkoasua vierailijoille.
Kun tavallinen käyttäjä saapuu murretulle sivustolle, hänelle näytetään väärennetty virheilmoitus tai CAPTCHA-robottitarkistus (esim. ”Vahvista, että olet ihminen”). Sivusto huijaa käyttäjää klikkaamaan painiketta, joka kopioi haitallisen komennon käyttäjän leikepöydälle, ja ohjeistaa käyttäjää suorittamaan komennon oman tietokoneensa komentorivillä (Win + R ja Ctrl + V). Tämä lataa käyttäjän laitteelle tietoja varastavan haittaohjelman.
Jos epäilet sivustosi vaarantuneen ja huomaat esimerkiksi sivustollasi ylimääräisiä pop-up-ikkunoita, outoja CAPTCHA-kyselyitä tai saat kävijöiltä ilmoituksia virheilmoituksista, toimi seuraavasti ja suorita sivustolle kattava tietoturvatarkastus:
– Vaihda kaikki sivustoon liittyvät salasanat (mukaan lukien FTP ja tietokanta).
– Tarkista verkkosivustolla olevat skriptit mahdollisten hyökkäysten varalta.
– Varmista, että kaikki käytetyt verkkosovellukset on päivitetty uusimmilla päivityksillä/tietoturvakorjauksilla. (Sovellusten tulisi olla saatavilla julkaisijan virallisen sivuston kautta.)
– Poista kaikki käyttämättömät tai suojaamattomat teemat ja laajennukset.
– Voit myös asentaa sivustollesi luotettavan tietoturvalisäosan (esim. Wordfence), joka tarkistaa sivuston tiedostoja muutosten varalta.
Kyberturvallisuuskeskuksen artikkeli Clickfix-tekniikasta:
https://kyberturvallisuuskeskus.fi/fi/uutiset/haittaohjelma-voidaan-aktivoida-huomaamatta-clickfix-tekniikan-avulla-tutustu-ilmioon-ja-suojaudu
/