Tilanne oli vakava – pahimmillaan haavoittuvuutta hyödyntävä hyökkääjä olisi voinut ajaa mitä tahansa koodia ja ottaa koko verkkopalvelimen hallintaansa.
Aiemmin tällaisten uhkien torjumiseen saattoi olla päiviä aikaa. Nyt tilanne oli toinen.
Koska haavoittuvuuteen oli jo tiedossa hyökkäystapa ja päivityksien saamiseen eri jakeluverkoista menee yleensä jopa tunteja aikaa, jouduimme tekemään tiukan mutta ainoan oikean päätöksen. Asiakkaidemme suojaamiseksi ajoimme verkkosivustot tilapäisesti alas ennen kuin tieto päivityksistä julkaistiin.
Palautimme sivustot turvallisesti takaisin verkkoon heti, kun ohjelmistokorjaukset oli testattu ja asennettu. Nopea reagointi varmisti sen, että palvelut pysyivät turvassa, mutta tämä oli samalla täydellinen esimerkki siitä, millaista verkkosivujen ylläpito on nykypäivänä.
Kilpajuoksu aikaa vastaan
Haavoittuvuuksien eli ohjelmistojen heikkouksien määrä on räjähtänyt viime vuosina. Esimerkiksi WordPress-sivustojen haavoittuvuuksien määrä rikkoi kaikkien aikojen ennätyksiä vuonna 2025. Tekoäly on muuttanut pelin hengen täysin: se on valjastettu mukaan sekä verkkohyökkäyksiin että niiltä puolustustautumiseen.
Kun jossain julkaistaan tieto uudesta ohjelmistovirheestä, verkkorikolliset syöttävät tiedot tekoälylle, joka osaa kirjoittaa valmiin hyökkäyskoodin minuuteissa. Nykyään aika haavoittuvuuden julkaisusta ensimmäiseen oikeaan hyökkäykseen on kutistunut keskimäärin vain viiteen tuntiin. Ei siis viikkoihin tai päiviin, vaan muutamaan tuntiin.
Hyvä uutinen on, että tekoäly auttaa myös puolustuksessa, sillä se osaa paikantaa ja korjata virheitä tehokkaasti. Pullonkaulaksi onkin muodostunut laadunvalvonnan prosessit ja jossain määrin ihmiset itse. Meidän on edelleen testattava, etteivät nopeat turvapäivitykset riko sivuston omia toimintoja – kuten verkkokaupan kassaa tai yhteydenottolomakkeita.
Riski piilee lisäosissa
On tärkeää ymmärtää, että itse WordPress-alusta on erittäin turvallinen. Noin 91 % kaikista tietoturva-aukoista löytyy erilaisista lisäosista (esimerkiksi kuvagallerioista tai hakukoneoptimoinnin työkaluista) ja teemoista, jotka on asennettu sivustolle. Kalliimpi maksullinen lisäosa ei myöskään automaattisesti takaa turvallisuutta.
Näin pidät sivustosi turvassa
Miten tähän uuteen todellisuuteen voi varautua? Tässä tärkeimmät askeleet jokaiselle verkkosivujen omistajalle:
- Säännölliset tietoturva-arvioinnit: Tietoturvan ylläpito on jatkuva prosessi. Varmista asiantuntijan kanssa säännöllisesti, että sivustosi suojaus on ajan tasalla ja vastaa nykypäivän vaatimuksia.
- Kriisisivun eli poikkeussivun luonti: Hanki pääsivustosta erillinenvarasivu. Jos pääsivusto kaatuu hyökkäyksen, kävijäryntäyksen tai pakollisen alasajon vuoksi, kriisisivu voidaan aktivoida automaattisesti tai napin painalluksella. Näin tärkeä viestintäsi asiakkaille ei katkea pahimmassakaan tilanteessa. Lue lisää kriisisivuista täältä.
- Karsi turhat lisäosat ja käyttäjäprofiilit: Jokainen ylimääräinen lisäosa on potentiaalinen turvallisuusriski. Käykää sivusto läpi ja poistakaa rohkeasti kaikki ominaisuudet ja lisäosat, joita ette oikeasti aktiivisesti tarvitse. Muistakaa poistaa myös pääsyoikeudet henkilöiltä, jotka eivät välttämättä tarvitse pääsyä sivuston ylläpitoon.
- Ota käyttöön virtuaalinen palomuuri (WAF): Hanki suojaratkaisu, joka osaa tunnistaa WordPress-hyökkäykset ja suojata sivustoa tekoälyavusteisesti jo ennen kuin virallinen päivitys ohjelmistoon on edes julkaistu. Tavallinen webhotellin peruspalomuuri ei tähän useinkaan riitä.
- Suunnitelmallinen päivitysprosessi: Varmista, että sivustollasi on ylläpitomalli, joka vastaa tarvitsemaanne tasoa. Näin sivusto pysyy sekä turvallisena että toimivana.
Ole meihin yhteydessä, jos haluat jutella tietoturvasta lisää – autamme mielellämme!
Kysy meiltä lisää
Ota yhteyttä asiantuntijoihimme, niin rakennamme organisaatiollesi turvallisen viestintäkanavan poikkeustilanteiden varalle.
"*" näyttää pakolliset kentät