PHP:n kriittinen haavoittuvuus: koskeeko se yrityksesi kotisivuja?
21.10.2026 · Sivukas
PHP-ohjelmointikielestä on löytynyt kaksi kriittistä haavoittuvuutta. PHP:llä toimivat esimerkiksi WordPress, Joomla ja Drupal, eli valtaosa pienyritysten kotisivuista. Korjaus julkaistaan keskiviikkona 21.10.2026 klo 17 Suomen aikaa. Jos sivustosi toimii PHP:llä, se pitää päivittää heti.
Mitä tapahtui
PHP:n tietoturvatiimi ilmoitti 20.10. ylimääräisestä tietoturvapäivityksestä. Se korjaa kaksi haavoittuvuutta, joiden vakavuus on molemmilla 9,2/10 (CVSS v4.0). Tarkat versiot julkaistaan päivityksen yhteydessä.
Tietoturvayhtiöiden mukaan kyse on etäkoodin suorittamisesta: pahimmillaan hyökkääjä voi ajaa omaa koodiaan sivuston palvelimella. Tiedot vuotivat julkisuuteen ennen sovittua päivää, ja haavoittuvuudet tunnetaan nimellä PHP2Shell.
Kaksi asiaa on vielä auki. Tiedot hyökkäyksistä ovat ristiriitaisia: Patchstack kertoo havainneensa hyökkäyksiä, Huntress ei ollut havainnut niitä 20.10. Raporttien mukaan korjaus tulee vain tuetuille versioille 8.2–8.5, ja versiot 7.x, 8.0 ja 8.1 jäisivät ilman korjausta. Tätä PHP ei ole vielä vahvistanut.
Koskeeko tämä minun sivuani?
| Sivustosi | Koskeeko? |
|---|---|
| WordPress, WooCommerce, Joomla, Drupal tai Magento | Kyllä |
| Muu PHP:llä tehty sivusto tai oma palvelin | Kyllä |
| Sivustorakentaja, esimerkiksi Wix tai Squarespace | Ei sinun tehtäväsi: palveluntarjoaja vastaa omista palvelimistaan |
| Staattinen HTML-sivusto ilman PHP:tä | Ei |
Jos et tiedä, millä sivustosi on tehty, kysy sen tekijältä tai webhotellistasi. Voit myös lähettää osoitteen meille; katsomme sen veloituksetta, vaikket olisi asiakkaamme.
Mitä tehdä tänään: kolme kysymystä ylläpitäjälle
- Mikä PHP-versio sivustollani on?
- Milloin se päivitetään korjattuun versioon? Webhotelli päivittää PHP:n yleensä itse, mutta varmista se.
- Jos versio on 8.1 tai vanhempi: mikä on suunnitelma? Vanhaan versioon ei välttämättä tule korjausta lainkaan.
Ennen päivitystä otetaan varmuuskopio. Netissä kiertäviä "testikoodeja" ei kannata ajaa omalla sivustolla; osa niistä voi itse olla haitallisia.
Tänään iltapäivällä törmäsimme jo yhdistyksen WordPress-sivustoon, joka oli suljettu varotoimena huoltotilaan. Se on oikea ratkaisu. Se tarkoittaa kuitenkin, että sivua ei ole olemassa ennen kuin päivitys on tehty.
Miksi Sivukkaan sivustoilla ei ole tänään mitään paikattavaa
Sivukkaan sivustot ovat valmiita HTML-tiedostoja. Palvelin lähettää kävijälle tiedoston sellaisenaan; mitään ohjelmaa ei ajeta kävijän pyynnöstä. Sivustoilla ei ole PHP:tä, ei tietokantaa, ei kirjautumissivua eikä lisäosia. Myös yhteydenottolomakkeet käsitellään erillisessä palvelussa omalla palvelimellamme Helsingissä, eikä sekään käytä PHP:tä.
| Osa | Tyypillinen WordPress-sivu | Sivukkaan sivusto |
|---|---|---|
| PHP | Kyllä | Ei ole |
| Julkaisujärjestelmän ydin | Kyllä | Ei ole |
| Lisäosat ja teema | Kyllä, usein kymmeniä | Ei ole |
| Tietokanta | Kyllä | Ei ole |
| Kirjautumissivu | Kyllä | Ei ole |
| Palvelinohjelmisto | Kyllä | Kyllä; me päivitämme sen |
Rehellisesti: mikään sivusto ei ole täysin turvallinen. Staattisenkin sivuston palvelin pitää pitää ajan tasalla, ja se kuuluu ylläpitoomme. Ero on siinä, kuinka paljon murrettavaa ja päivitettävää on. Mitä vähemmän sivustolla on ajettavaa koodia, sitä harvemmin tällainen päivä koskee sinua.
Laajempi vertailu: WordPress vai käsintehty sivusto.
Usein kysytyt kysymykset
Riittääkö, että päivitän WordPressin?
Ei. Vika on PHP:ssä, ei WordPressissä. WordPressin ja lisäosien
päivitys ei korjaa sitä; PHP pitää päivittää palvelimella.
Sivuni on webhotellissa. Pitääkö minun tehdä
jotain?
Webhotelli päivittää PHP:n yleensä itse. Kysy silti, milloin
päivitys tehdään ja mikä PHP-versio sivustollasi on.
Onko staattinen sivusto täysin turvallinen?
Ei mikään ole. Staattisessa sivustossa on kuitenkin vähemmän
osia, joihin voi hyökätä, ja vähemmän päivitettävää.
Voinko siirtää nykyiset sivuni Sivukkaalle?
Kyllä. Teemme ensin maksuttoman esikatselun. Sivusto ja
verkkotunnus ovat sinun.
Lähteet
- PHP: Upcoming Critical PHP Security Release (20.10.2026: julkaisu 21.10. klo 14.00 UTC, kaksi haavoittuvuutta, CVSS v4.0 9,2)
- Patchstack: Major security alert, PHP vulnerable to critical RCE (21.10.2026)
- Huntress: php2shell, leaked critical PHP vulnerabilities (20.10.2026)
Päivitämme artikkelin, kun PHP on julkaissut korjatut versiot.
Sivukas