WordPressin tietoturva-aukot: mitä oikein tapahtuu?

Heinäkuun iso tapaus: ”WP2Shell” murtautui suoraan WordPressin ytimeen

17.–18. heinäkuuta 2026 julkistettiin kaksi toisiinsa liittyvää haavoittuvuutta suoraan WordPressin ydinkoodissa. Ei siis esimerkiksi yksittäisessä pluginissa (kuten tavallista), vaan itse alustassa, jota käytetään miljoonilla sivustoilla. Vaikutus oli siis valtava.

Kyse oli kahden haavoittuvuuden ketjusta, jota tietoturva-ala alkoi kutsua nimellä ”WP2Shell”:

• CVE-2026-60137: SQL-injektiohaavoittuvuus, joka koski WordPress-versioita 6.8.0–6.8.5, 6.9.0–6.9.4 ja 7.0.0–7.0.1.
• CVE-2026-63030: REST-rajapinnan ”batch”-käsittelyn logiikkavirhe versioissa 6.9.0–6.9.4 ja 7.0.0–7.0.1, joka sekoitti pyyntöjen validoinnin ja suorituksen niin, että pyyntöjä käsiteltiin luotettuina, vaikka niitä ei oltu vielä tarkistettu.

Yksittäisinä nämä olisivat olleet hankalasti hyödynnettäviä, mutta yhdistettynä ne mahdollistivat kirjautumatta sisään tapahtuvan koodin suorittamisen: hyökkääjä pystyi luomaan itselleen ylläpitäjätunnuksen ja esimerkiksi lataamaan sivustolle haittaohjelmallisen pluginin, eli käytännössä ottamaan sivuston täysin haltuunsa ilman minkäänlaista tunnistautumista.

Haavoittuvuuden vakavuusarviot vaihtelivat lähteen mukaan: WPScan arvioi sen CVSS-asteikolla 9.8:aan (kriittinen), kun CISA:n oma arvio oli maltillisempi, 7.5 (korkea). [5] Kummassakin tapauksessa kyse oli poikkeuksellisen vaarallisesta yhdistelmästä, koska hyökkäys ei vaatinut kirjautumista.

WordPress-yhteisö reagoi nopeasti: korjaukset (versiot 6.9.5, 7.0.2 ja 6.8.6) julkaistiin 17. heinäkuuta, ja niiden mukana pakotettiin automaattipäivitykset päälle myös sivustoille, joilla ne on normaalisti pois käytöstä. [3] Siitä huolimatta hyväksikäyttö alkoi käytännössä saman viikonlopun aikana massiivisena: The Registerin mukaan hyökkäysyrityksiä dokumentoitiin kymmeniätuhansia, ja eri hyökkääjät onnistuivat luomaan yli sata takaovitunnusta korjauksen julkaisua seuranneen vuorokauden aikana. Osassa tapauksia sivustoille asennettiin myös etäkäyttöhaittaohjelmia. Julkisia hyväksikäyttökoodeja ilmestyi verkkoon jo tunneissa julkistuksen jälkeen, ja niiden määrä kasvoi nopeasti kymmeniin. [4]

Yhdysvaltain kyberturvallisuusvirasto CISA lisäsi molemmat haavoittuvuudet tunnetuksi hyväksikäytetyksi haavoittuvuudeksi (KEV-luetteloon) 21. heinäkuuta. [2]

Suomalainen näkökulma:

Traficomin Kyberturvallisuuskeskus julkaisi tapauksesta oman haavoittuvuustiedotteensa 19. heinäkuuta, ja päivitti sitä 23. heinäkuuta. Tiedotteessa todetaan suoraan, että hyväksikäyttöä havaittiin laajasti ”globaalisti ja Suomessa” . Kyse ei siis ollut vain ulkomaisia sivustoja koskevasta ilmiöstä. [1]

Kyberturvallisuuskeskuksen suositukset olivat linjassa kansainvälisten toimijoiden kanssa:

• päivitä välittömästi korjattuun versioon
• tutki lokeja epäilyttävien REST-API-pyyntöjen ja uusien ylläpitäjätunnusten varalta
• ota tarvittaessa levy- ja muistivedokset rikostekniseen analyysiin, jos epäilet sivustosi joutuneen kohteeksi

Heinäkuun plugin-aalto: yli 100 uutta haavoittuvuutta

Ydinhaavoittuvuuden rinnalla heinäkuu oli tavanomaisen vilkas kuukausi myös plugin-rintamalla. Sucurin kuukausikatsauksen mukaan heinäkuussa julkaistiin yli 100 uutta plugin-haavoittuvuutta, jotka koskettivat yhteensä miljoonia WordPress-asennuksia. [6]

Kriittisimmät olivat kirjautumista vaatimattomia SQL-injektioita, muun muassa:

• Kirki-teemakehys (≤ 6.0.12, korjattu 6.0.13:een)
• Appointment Booking Plugin (≤ 5.6.3, korjattu 5.6.4:ään)
• Events Manager (≤ 7.3.6, korjattu 7.3.7:ään)
• Amelia-varauspalvelu (≤ 2.4.2, korjattu 2.4.3:een)
• Bookly-varauspalvelu (≤ 27.7, korjattu 27.8:aan)

Korkean vakavuusluokan puolella nousi esiin useita erityyppisiä ongelmia: Loco Translate -pluginissa CSRF-haavoittuvuus, joka johti koodin suorittamiseen (≤ 2.8.5), W3 Total Cachessa mahdollisuus lukea tiedostoja luvatta (≤ 2.9.4), Essential Addons for Elementorissa tilin haltuunotto sähköpostiotsikoiden manipuloinnin avulla (≤ 6.6.10), ja GiveWP-lahjoituspluginissa useita XSS- ja oikeuksien eskalointihaavoittuvuuksia.

Toinen tietoturvayhtiö, Shield Security, nosti samalta ajalta esiin lisäksi muun muassa Ultimate Member -pluginin SQL-injektion (vakavuus 9.3/10, korjattu versioon 2.10.2), SureCartin oikeuksien eskaloinnin (8.1/10), WP Ultimate CSV Importerin täyden koodinsuoritushaavoittuvuuden (10/10) sekä miniOrangen Social Login -pluginin ylläpitäjätilin haltuunottohaavoittuvuuden (9.8/10). [7]

Yleisin yksittäinen haavoittuvuustyyppi koko kuukauden aineistossa oli tallennettu XSS (cross-site scripting), joka vaivasi Sucurin mukaan yli 50:tä eri pluginia riittämättömän syötteen puhdistuksen vuoksi — tämä on hyvä muistutus siitä, että moni haavoittuvuus syntyy edelleen samoista, tunnetuista virhetyypeistä. [6]

Meillä Into-Digitalilla ei käytetä ainuttakaan näistä lisäosista, joten meidän asiakkaillemme nämä plugin-haavoittuvuudet olivat harmittomia.

Erillinen ja edelleen ratkaisematon riski: miniOrangen SSO-plugin

Yksi heinäkuun huolestuttavimmista löydöksistä koski miniOrangen ”OAuth Single Sign-On” -pluginia (CVE-2026-57807, julkaistu 10. heinäkuuta 2026). [9] Kyse oli rikkinäisestä tunnistautumislogiikasta salasanan palautustoiminnossa: haavoittuvuus mahdollisti kirjautumatta tapahtuvan tunnistautumisen ohituksen, jonka avulla hyökkääjä pystyi esiintymään kenä tahansa käyttäjänä. Myös ylläpitäjänä.

Patchstack arvioi haavoittuvuuden vakavuudeksi 9.8/10 (kriittinen) ja varoitti, että plugin on käytössä miljoonilla sivustoilla versioon 38.5.8 asti. [8] Tässä tapauksessa erityisen huolestuttavaa oli, että virallista korjausta ei ollut julkaisuhetkellä saatavilla: suositeltu toimenpide oli pluginin poistaminen käytöstä kokonaan, tai vaihtoehtoisesti tietoturvapalvelun tarjoaman ”virtuaalisen paikkauksen” (virtual patch) käyttö väliaikaisena suojana, kunnes valmistaja julkaisee korjauksen.

Tämä on hyvä muistutus siitä, että kirjautumiseen ja SSO:hon liittyvät pluginit ansaitsevat erityistä huomiota, koska niiden haavoittuvuudet antavat suoran pääsyn koko sivuston hallintaan.

Meidän asiakkaillamme ei ole tätä lisäosaa käytössä, joten ongelma ei vaikuta asiakkaisiimme.

Kun päivitys itsessään on haittaohjelma

28. heinäkuuta paljastui tapaus, joka poikkesi tyypillisestä ”koodivirhe löytyi, korjaa se” -kaavasta. Wordfencen tekoälypohjainen uhkien tunnistusjärjestelmä havaitsi, että suositun ”Advanced Responsive Video Embedder” -pluginin päivitys (versio 10.8.7) sisälsi suoraan koodiin upotetun takaoven (CVE-2026-18072, julkaistu 29. heinäkuuta 2026) — kyse oli siis toimitusketjuhyökkäyksestä (supply chain attack), jossa haittakoodi tuli virallisen WordPress.org-arkiston kautta, ei kolmannen osapuolen sivuston kautta.

Haittakoodi toimi tiedoston nimeltä ”fn-update-check.php” kautta, joka aktivoitui varhain WordPressin käynnistyessä. Se vertasi hyökkääjän lähettämää tunnistetta pluginiin koodattuun kiinteään SHA-256-tiivisteeseen, ja tunnisteen täsmätessä kirjasi hyökkääjän sisään satunnaisesti valittuna ylläpitäjätilinä täysin ilman käyttäjätunnuksia. Koko hyökkäys vaati vain yhden HTTP-pyynnön, ja koodi lähetti lisäksi sivuston tietoja hyökkääjän hallitsemalle palvelimelle.

Noin 20 000 sivustoa arvioitiin olleen riskissä. Wordfence tunnisti saastuneen version noin kahdessa tunnissa sen julkaisusta, ja WordPress.org poisti pluginin jakelusta pian tämän jälkeen. [10]

Sivustonomistajille suositeltiin pluginin välitöntä poistamista, käyttäjätilien tarkastamista, tunnistautumisavainten vaihtamista ja aktiivisten kirjautumisistuntojen mitätöimistä, jos plugin oli ollut käytössä kriittisen ikkunan aikana.

Meidän asiakkaillamme ei ole tätä lisäosaa käytössä, joten ongelma ei vaikuttanut asiakkaisiimme.

Elokuu: WordPress 7.0.3 ja 7.0.4 korjasivat lisää aukkoja

Elokuu jatkui kahdella merkittävällä ydinjulkaisulla.

WordPress 7.0.3, julkaistu 6. elokuuta 2026, korjasi kerralla 12 haavoittuvuutta. [11] Merkittävin näistä oli kirjautumissivun tunnistautumista edeltävä (pre-auth) heijastuva XSS-haavoittuvuus (CVE-2026-64638 / GHSA-52p2-r8wf-jcrf), joka johtui käyttäjätunnuskentän puutteellisesta puhdistuksesta epäonnistuneilla kirjautumisyrityksillä. [12] Tietoturvatutkijat kutsuivat hyväksikäyttöketjua nimellä ”XSS2Shell”: hyökkääjä upottaa haitallisen JavaScript-koodin kirjautumissivulle, ja jos ylläpitäjä avaa haitallisen linkin, koodi pystyy luomaan sovelluskohtaisia salasanoja (Application Passwords) REST-rajapinnan kautta. Näiden avulla voidaan ladata plugin, joka sisältää PHP-webshellin: koodin, joka toimii, vaikka plugin ei olisi aktivoituna.

On syytä olla tarkka vakavuudesta: osa uutisoinnista kutsui tätä ”kriittiseksi”, mutta virallinen CVSS 4.0 -arvio (HackerOne) on 8.9, luokka ”korkea” (High), ei ”kriittinen”. [12] Hyökkäys vaatii onnistuakseen kohdennetun huijausviestin (phishing) ja ylläpitäjän klikkauksen — se ei ole yhtä suoraviivainen kuin heinäkuun WP2Shell.

Muut 7.0.3:n korjaukset kattoivat neljä tallennettua XSS-haavoittuvuutta (mm. emoji-asetuksissa, ”Post Content” -lohkossa, Quick Edit -toiminnossa ja ”Post Date” -lohkossa, kaikki vaativat vähintään Contributor-tason käyttäjätunnuksen), monisivustoympäristön (multisite) oikeuksien eskaloinnin, joka mahdollisti luvattoman sivustojen luonnin, tietovuotoja (mm. salasanasuojattujen artikkelien kommenttien paljastuminen ja artikkelien URL-tunnisteiden arvailtavuus), CSS-injektion Safe CSS -suodattimen ohituksen kautta sekä palvelinpuolen pyyntöväärennöksen (SSRF) URL-validoinnissa. Kiinnostava yksityiskohta: yhden näistä haavoittuvuuksista (CSS-injektio) raportoi WordPressin turvallisuustiimille Anthropic. [11]

Vain viikkoa myöhemmin, 12. elokuuta, julkaistiin WordPress 7.0.4, joka korjasi vielä yhden kriittisen ongelman: kirjautuneen, Author-tason käyttäjän oli mahdollista suorittaa koodia tiedoston latauksen kautta sivustoilla, joissa kuvankäsittelyyn käytetään Imagick- ja Ghostscript-kirjastoja (CVE-2026-65640 / GHSA-8vr3-7mxf-gx8w). [13] Tämä korjaus julkaistiin poikkeuksellisen laajasti taannehtivasti: tukipäivityksiä tehtiin kaikkiin ylläpidettyihin haaroihin aina versioon 4.7 asti, koska haavoittuvuus koski useita vanhoja ydinversioita. WordPress 4.6 ja sitä vanhemmat versiot eivät enää saa tietoturvapäivityksiä lainkaan.

Miksi ja miten hyökkäykset tapahtuivat?

Seuraava osio on tulkintaa ja perusteltua spekulaatiota siitä, mikä ajaa tämänkaltaisia hyökkäysaaltoja. Se pohjaa julkaistujen lähteiden havaintoihin, vaikka hyökkääjien todellisia motiiveja ei voida varmuudella tietää.

Miksi juuri WordPress?

WordPress pyörittää arviolta reilua kolmannesta koko internetin sivustoista, mikä tekee siitä hyökkääjien näkökulmasta äärimmäisen houkuttelevan kohteen. Kun sama ydinhaavoittuvuus koskee miljoonia sivustoja, yksi toimiva hyväksikäyttö skaalautuu välittömästi valtavaan kohdejoukkoon. Kyse ei useimmiten ole tietyn sivuston kohdennetusta hyökkäyksestä vaan massaskannauksesta: automatisoidut botit kolusivat verkkoa ympäri vuorokauden etsien haavoittuvia versioita, ja mikä tahansa päivittämätön sivusto — pieni yritys, blogi tai verkkokauppa — päätyi kohteeksi pelkästään siksi, että se oli haavoittuva, ei siksi, että se olisi ollut erityisen kiinnostava.

Mikä hyökkääjiä motivoi?

Raportoiduista hyökkäyksistä hahmottuu tuttu kirjo rahanteon tapoja. Takaovitunnukset ja etäkäyttöhaittaohjelmat (kuten WP2Shell-tapauksessa havaittu Overlord RAT) antavat pysyvän jalansijan, jonka voi myydä eteenpäin tai valjastaa botnetiksi. Sivustolle piilotetaan usein roskapostilinkkejä ja piilotettua uudelleenohjausta (”SEO-spam”), jolla loisitaan sivuston hakukonenäkyvyydellä. Muita tyypillisiä päämääriä ovat kryptolouhinta, maksukorttitietojen tai käyttäjätietojen varastaminen verkkokaupoista sekä kiristysohjelmien alustaminen. Video Embedder -tapauksen kaltainen toimitusketjuhyökkäys on tästä erityisen tehokas versio: kun haittakoodi upotetaan suosittuun plugin-päivitykseen, hyökkääjä saa kerralla tuhansia sivustoja ilman, että kutakin tarvitsee murtaa erikseen.

Miten hyökkäys eteni käytännössä?

Kaava toistui tapauksesta toiseen. Ensin tutkija tai valmistaja julkaisi haavoittuvuuden ja korjauksen. Tunneissa verkkoon ilmestyi julkisia proof-of-concept-koodeja, jotka kääntyivät nopeasti automaattisiksi hyökkäystyökaluiksi. WP2Shellin voima perustui nimenomaan ketjutukseen: yksinään vaikeasti hyödynnettävä REST-rajapinnan logiikkavirhe ja SQL-injektio muuttuivat yhdistettyinä täydeksi, kirjautumattomaksi koodin suoritukseksi. Kun jalansija oli saatu, hyökkääjä loi itselleen ylläpitäjätunnuksen ja latasi haittapluginin, joka sisälsi webshellin pysyvää pääsyä varten. Elokuun XSS2Shell edusti hienovaraisempaa reittiä, joka nojasi ihmisen erehdykseen: se vaati ylläpitäjän klikkaavan haitallista linkkiä, minkä jälkeen sovellussalasanojen luonti avasi tien webshelliin.

Miksi näin nopeasti?

Selvin yhteinen tekijä oli hyväksikäytön aikaikkunan romahtaminen. Useat tutkijat epäilivät, että tekoälyavusteiset työkalut nopeuttivat toimivan hyökkäyskoodin rakentamista julkistuksesta — historiallisesti tämä on vienyt vuorokauden tai enemmän, mutta kesällä 2026 osa hyväksikäytöistä oli valmiina tunneissa. Tämä muuttaa puolustuksen laskutoimitusta perustavasti: ”päivitämme ensi viikolla” ei enää ole realistinen suunnitelma kriittisten haavoittuvuuksien kohdalla.

Mitä tästä opimme?

Kolme teemaa toistuu kaikissa heinä–elokuun 2026 tapauksissa, ja ne kannattaa kääntää konkreettisiksi opeiksi.

Ensinnäkin: hyväksikäytön aikaikkuna on kaventunut dramaattisesti. Kun toimiva hyökkäys voi olla valmiina tunneissa julkistuksesta, viikon viiveellä päivittyvä sivusto on kriittisten haavoittuvuuksien osalta käytännössä täysin suojaton.

Opiksi tästä: ota automaattipäivitykset käyttöön vähintään tietoturvakorjauksille, ja varmista, että sinulla on toimivat varmuuskopiot, jotta päivittäminen ei tunnu pelottavalta.

Toiseksi: riski ei rajoitu pelkkiin kolmannen osapuolen pluginien koodivirheisiin. Video Embedder -tapaus osoitti, että myös virallisen plugin-arkiston kautta voi levitä tahallista haittakoodia, ja miniOrange-tapaus osoitti, että kirjautumiseen liittyvät pluginit voivat jäädä pitkäksi aikaa korjaamattomiksi.

Opiksi tästä: minimoi hyökkäyspinta poistamalla pluginit, joita et käytä, suosi aktiivisesti ylläpidettyjä ja laajasti käytettyjä lisäosia, ja seuraa erityisen tarkasti kirjautumiseen ja maksuihin liittyviä pluginien tiedotteita.

Kolmanneksi: itse WordPressin ydin ei ole immuuni. Kaksi erillistä kriittistä tai korkean vakavuuden ydinhaavoittuvuutta parin kuukauden sisällä muistuttaa, että ydinpäivitysten seuraaminen on yhtä tärkeää kuin plugin-päivitysten.

Opiksi tästä: älä oleta, että ”kun ydin on ajan tasalla, kaikki on kunnossa”: seuraa myös REST-rajapinnan ja tunnistautumisen kaltaisia hyökkäyspintoja ja harkitse palomuuria (WAF), joka tarjoaa virtuaalipaikkauksen niissä tilanteissa, joissa valmistajan korjaus viivästyy.

Käytännön muistilista pysyi samana koko tarkastelujakson ajan: pidä ydinjärjestelmä, teemat ja pluginit ajan tasalla mielellään automaattipäivityksillä kriittisten korjausten osalta, poista käyttämättömät pluginit, rajoita anonyymin REST-API-käytön laajuutta tarpeen mukaan, ota säännölliset varmuuskopiot, ja seuraa sekä kansainvälisiä tietoturvalähteitä että Traficomin Kyberturvallisuuskeskuksen haavoittuvuustiedotteita.

Usein kysytyt kysymykset

Me olemme päivittäneet kaikki viimeisimmät WordPress-tietoturvajulkaisut ja tarvittavat lisäosapäivitykset kaikille Huolenpito-asiakkaidemme sivustoille. Samalla kävimme läpi sivustojen tilat mahdollisten poikkeamien varalta. Vaikka me ja asiakkaamme selvisimme haasteesta kunnialla, kehitämme jatkuvasti päivitysprosessiamme, jotta tietoturvapäivitykset saadaan jatkossa käyttöön entistä nopeammin ja luotettavammin.

Antti Lassila

CTO, partner

Lähteet:

1. Kyberturvallisuuskeskus (Traficom): WordPress-tuotteessa kriittinen haavoittuvuus. https://kyberturvallisuuskeskus.fi/fi/haavoittuvuudet/haavoittuvuus-2026-18
2. Rapid7: CVE-2026-63030 (wp2shell) — a Critical Remote Code Execution Vulnerability in WordPress Core. https://www.rapid7.com/blog/post/etr-cve-2026-63030-wp2shell-a-critical-remote-code-execution-vulnerability-in-wordpress-core/
3. SecurityWeek: WP2Shell WordPress Vulnerabilities Exploited in the Wild. https://www.securityweek.com/wp2shell-wordpress-vulnerabilities-exploited-in-the-wild/
4. The Register: Attackers pummel critical WordPress vuln to create all sorts of mischief. https://www.theregister.com/security/2026/07/20/attackers-pummel-critical-wordpress-vuln-to-create-all-sorts-of-mischief/5275265
5. NVD (NIST): CVE-2026-63030. https://nvd.nist.gov/vuln/detail/CVE-2026-63030
6. Sucuri: Vulnerability & Patch Roundup — July 2026. https://blog.sucuri.net/2026/07/vulnerability-patch-roundup-july-2026.html
7. Shield Security: ShieldNotes 117. https://getshieldsecurity.com/blog/shieldnotes-117/
8. Cybersecurity News: Critical WordPress Plugin Vulnerability — miniOrange. https://cybersecuritynews.com/wordpress-plugin-vulnerability-miniorange/
9. NVD (NIST): CVE-2026-57807 (miniOrange OAuth SSO). https://nvd.nist.gov/vuln/detail/CVE-2026-57807
10. GBHackers: Critical WordPress Plugin Backdoor Exposes 20,000 Sites. https://gbhackers.com/critical-wordpress-plugin-backdoor-exposes-20000-sites/
11. WordPress.org: WordPress 7.0.3 Release. https://wordpress.org/news/2026/08/wordpress-7-0-3-release/
12. NVD (NIST): CVE-2026-64638. https://nvd.nist.gov/vuln/detail/CVE-2026-64638
13. WordPress.org: WordPress 7.0.4 Release. https://wordpress.org/news/2026/08/wordpress-7-0-4-release/

Artikkelin tiedot on tarkistettu ristiin virallisista ensisijaislähteistä (WordPress.orgin julkaisutiedotteet, NVD:n CVE-tietokanta ja Traficomin Kyberturvallisuuskeskuksen tiedote). Advanced Responsive Video Embedder -tapaukselle ei ole virallista CVE-tunnistetta, joten se perustuu Wordfencen ja GBHackersin raportointiin. Artikkelin laadinnassa on hyödynnetty tekoälyä.