WordPress on edelleen maailman suosituin julkaisujärjestelmä, ja juuri siksi se on myös hyökkääjien suosikkikohde. Patchstackin helmikuussa 2026 julkaistun State of WordPress Security in 2026 -raportin mukaan WordPress-ekosysteemistä löydettiin vuonna 2025 yhteensä 11 334 uutta haavoittuvuutta, mikä on 42 prosenttia enemmän kuin vuotta aiemmin. Hyvä uutinen on, että valtaosa riskeistä on hallittavissa järkevällä ylläpidolla. Tässä artikkelissa käymme läpi, mistä uhat oikeasti tulevat ja millainen ylläpitorutiini suojaa yrityksen sivustoa parhaiten.
Mistä haavoittuvuudet tulevat?
Raportin luvut ovat selkeitä: 91 prosenttia uusista haavoittuvuuksista löytyi lisäosista (plugins) ja 9 prosenttia teemoista. WordPressin ytimestä raportoitiin vain kuusi haavoittuvuutta, ja nekin olivat matalan prioriteetin ongelmia. Sivuston turvallisuus ei siis yleensä kaadu WordPressiin itseensä, vaan siihen, mitä sen päälle on asennettu.
Erityistä huomiota kannattaa kiinnittää maksullisiin lisäosiin ja teemoihin. Patchstack sai vuonna 2025 lähes 2 000 validia haavoittuvuusraporttia premium- tai freemium-komponenteista, ja niistä 76 prosenttia oli hyödynnettävissä todellisissa hyökkäyksissä. Maksullisuus ei siis takaa turvallisuutta – päinvastoin, koska ulkopuoliset tutkijat pääsevät tarkastelemaan niiden koodia harvemmin.
Päivitykset ovat tärkeitä – mutta eivät yksin riitä
Kaksi lukua kertoo, miksi ylläpito on kiireellistä. Ensinnäkin 46 prosenttia haavoittuvuuksista ei ollut saanut korjausta kehittäjältä siinä vaiheessa, kun ne julkistettiin. Toiseksi raportin mukaan kaikkein voimakkaimmin hyödynnettyjen haavoittuvuuksien painotettu mediaaniaika julkistuksesta ensimmäiseen hyökkäykseen oli noin viisi tuntia. Viikoittainen päivityskierros ei siis aina ehdi ajoissa.
Lisäksi Patchstackin testeissä tavalliset palvelintason suojaukset, kuten yleiset palomuurit, pysäyttivät vain noin 26 prosenttia WordPress-haavoittuvuuksiin kohdistuneista hyökkäyksistä. Webhotellin tietoturva on tärkeä perusta, mutta sovellustason suojaus ja oma ylläpitokuri ratkaisevat paljon.
Myös vanhat aukot ovat yhä käytössä. Vuoden 2025 kymmenestä eniten hyödynnetystä haavoittuvuudesta vain neljä oli julkaistu samana vuonna; loput koskivat vanhoja versioita esimerkiksi suosituista välimuisti- ja lomakelisäosista. Päivittämättä jäänyt sivusto on siis houkutteleva kohde vielä vuosia myöhemmin.
Kymmenen kohdan ylläpitolista
- Karsi lisäosat. Poista kaikki lisäosat ja teemat, joita et käytä. Pelkkä käytöstä poistaminen ei riitä, koska tiedostot jäävät palvelimelle.
- Päivitä säännöllisesti ja nopeasti. Ota käyttöön automaattiset päivitykset luotettaville lisäosille ja seuraa tietoturvatiedotteita kriittisten korjausten osalta.
- Valitse lisäosat harkiten. Suosi aktiivisesti ylläpidettyjä lisäosia, joilla on tuore päivityshistoria ja haavoittuvuuksien ilmoituskanava.
- Käytä haavoittuvuusseurantaa. Palvelut, jotka hälyttävät asennettujen komponenttien tunnetuista haavoittuvuuksista ja tarjoavat virtuaalisia korjauksia, kurovat umpeen aikaa julkistuksen ja päivityksen välillä.
- Kaksivaiheinen tunnistautuminen. Ota 2FA käyttöön kaikille ylläpitäjille ja rajoita kirjautumisyrityksiä.
- Vähimmät oikeudet. Anna jokaiselle käyttäjälle vain tarvittava rooli. Raportin mukaan yleisimmin hyödynnetty haavoittuvuusluokka oli puutteellinen pääsynhallinta (Broken Access Control).
- Poista XML-RPC, jos et tarvitse sitä. Se on tunnettu hyökkäysreitti brute force -yrityksille.
- Varmuuskopioi automaattisesti. Ota päivittäiset varmuuskopiot tiedostoista ja tietokannasta ja säilytä ne erillään palvelimesta. Testaa palautus vähintään kerran vuodessa.
- Pidä PHP-versio ajan tasalla. Vanhat PHP-versiot eivät saa tietoturvapäivityksiä. Hyvä webhotelli tarjoaa tuetut versiot ja helpon vaihtomahdollisuuden.
- Seuraa ja valvo. Käytä HTTPS:ää, tietoturvaotsakkeita ja tiedostojen muutosvalvontaa. Haittaohjelmat ovat yhä useammin piilotettuja koodinpätkiä oikeissa tiedostoissa, joten pelkkä silmämääräinen tarkastus ei riitä.
Mitä tehdä, jos sivusto on jo saastunut?
Merkkejä tartunnasta ovat esimerkiksi oudot uudelleenohjaukset, hakutuloksissa näkyvät vieraskieliset roskasivut, tuntemattomat ylläpitäjätunnukset tai äkillinen hidastuminen. Patchstackin kumppanin Monarxin aineiston mukaan nykyiset haittaohjelmat näyttävät usein eri sisältöä hakukoneille, kävijöille ja ylläpitäjälle, joten ongelma voi jäädä huomaamatta viikoiksi. Toimi näin: vaihda kaikki salasanat, ota sivusto tarvittaessa huoltotilaan, palauta puhdas varmuuskopio tai puhdista tiedostot huolellisesti, päivitä kaikki komponentit ja selvitä, mistä hyökkääjä pääsi sisään. Pelkkä yksittäisen tiedoston poistaminen ei riitä, jos takaovi jää paikalleen.
Varaudu sesonkiin
Raportissa mainitaan myös kiinnostava kausi-ilmiö: haitallisten tiedostojen lataukset lähes kolminkertaistuivat marras–joulukuussa 2025. Syynä on yhdistelmä suurta liikennettä ja lomakauden ohuempaa ylläpitoa. Verkkokauppiaan kannattaa siis tehdä tietoturvatarkastus ja varmuuskopiotesti jo lokakuussa, ennen joulusesongin alkua.
Yhteenveto
WordPress-sivuston tietoturva on prosessi, ei kertaluontoinen asetus. Kun lisäosia on vähän, päivitykset tehdään nopeasti, käyttäjäoikeudet ovat kunnossa ja varmuuskopiot toimivat, valtaosa yleisimmistä hyökkäyksistä menee ohi. Hyvä webhotelli ja WordPress-ylläpitopalvelu helpottavat tätä työtä huomattavasti.
