Kävimme läpi ylläpitämiemme sivustojen tietoturvahälytykset tammi-elokuulta 2026. Luku: 154 hälytystä 43 sivustolla, kahdeksassa kuukaudessa. Hälytysten määrä on kasvanut radikaalisti.
Mitä ekosysteemitasolla tapahtui vuonna 2025
WordPress-tietoturvayhtiö Patchstack julkaisi helmikuussa 2026 vuosiraporttinsa koko ekosysteemin haavoittuvuuksista. Luvut ovat suoraan sieltä:
- Uusia haavoittuvuuksia löydettiin 11 334 kappaletta vuonna 2025. Se on 42 % enemmän kuin vuonna 2024, jolloin niitä löytyi 7 966.
- 91 % näistä löytyi lisäosista ja 9 % teemoista. WordPressin ydinohjelmistosta löytyi koko vuonna vain 6 haavoittuvuutta, kaikki matalan riskin tapauksia.
- Vakavimpia, massahyväksikäyttöön soveltuvia haavoittuvuuksia löytyi enemmän kuin kahtena edellisenä vuonna yhteensä. Kasvua edelliseen vuoteen 113 %.
- 46 % haavoittuvuuksista ei ollut vielä korjattu, kun ne julkistettiin. Lisäosan päivittäminen ei siis aina auta, koska korjausta ei ole vielä olemassa.
- Vakavan haavoittuvuuden hyväksikäyttö alkaa keskimäärin viiden tunnin sisällä julkistuksesta.
- Perinteiset suojauskeinot, kuten palomuurit ja isännöintitason suojaukset, pysäyttivät Patchstackin omissa testeissä 26 % hyökkäyksistä.
Nämä luvut ovat Patchstackilta, joka ylläpitää yhtä maailman suurimmista WordPress-haavoittuvuustietokannoista ja seuraa hyväksikäyttöä reaaliaikaisesti satojentuhansien sivustojen kautta.
Miksi tämä näkyy juuri sinun hälytyksissäsi
Sivustosi lisäosamäärä on todennäköisesti sama kuin vuosi sitten. Ylläpitotiimi tekee samaa työtä kuin ennenkin. Koko ekosysteemin haavoittuvuusmäärä on kuitenkin kasvanut 42 prosenttia, ja lisäosat kantavat siitä 91 prosentin osuuden.
Sivusto, joka koostuu kymmenistä kolmannen osapuolen lisäosista, kantaa siis tänään enemmän riskiä kuin vuosi sitten, vaikka sivustolla itsellään ei olisi tehty mitään muutoksia. Riski kasvaa sen ympärillä olevassa ekosysteemissä.
Tässä ei syyllistetä ketään. Kyse on siitä, miten WordPress-lisäosaekosysteemi toimii vuonna 2026.
Mitä tälle voi tehdä
Päivitysten seuraaminen on edelleen välttämätöntä, mutta ei riittävää. Lähes puolet haavoittuvuuksista julkistetaan ennen kuin korjaus on edes olemassa, ja hyväksikäyttö alkaa tunneissa. Ylläpito, joka vain odottaa seuraavaa päivitystä, on rakenteellisesti aina askeleen jäljessä.
Jos sivustollasi ei ole säännöllistä ylläpitoa, kannattaa hankkia sellainen nyt. Hälytysten seuranta ja nopea reagointi vaativat jatkuvaa työtä, ei kertaluontoista tarkistusta.
Pidemmällä aikavälillä ratkaiseva kysymys on, kuinka paljon kolmannen osapuolen koodia sivusto kantaa. Rakennamme uudet projektit Astrolla, jossa ei ole WordPressin kaltaista lisäosamarkkinaa. Se ei tee sivustosta automaattisesti turvallista kaikelta, mutta se poistaa sen 91 prosentin osuuden riskistä, joka WordPress-sivustoilla tulee lisäosista.
Jos haluat nähdä, missä oman sivustosi kunto ja ostettavuus tällä hetkellä ovat, testaa se. Jos haluat käydä läpi, kannattaako nykyinen sivusto korjata vai uudistaa, varaa maksuton kartoitus.
Lähde: Patchstack, “State of WordPress Security in 2026” (julkaistu 25.2.2026), yhteistyössä Monarxin kanssa.