Edelleen loma-aamuja mennään ja ylläpidon sähköposti täytynyt tietoturvailmoituksista. Avaan ylläpito-ohjelman ja 79 sivustoa välkkyy punaisena. Tämä tuntuu olevan kuluneen kevään ja kesän teema, piskuisen ylläpitäjän on oltava aiempaakin paremmin hereillä.
Määrä kuulostaa hurjalta, mutta on hyvä ymmärtää, että tietoturva-aukot eivät ole keskenään samanlaisia. Haavoittuvuus voi pahimmillaan antaa ulkopuoliselle mahdollisuuden päästä sivustolle ilman asianmukaisia oikeuksia, suorittaa haitallista koodia, muuttaa tai varastaa tietoja tai ottaa sivusto kokonaan haltuun. Toisenlainen aukko voi mahdollistaa esimerkiksi roskapostin tai haitallisten linkkien lisäämisen sivustolle, käyttäjätietojen paljastumisen tai palvelun häiritsemisen. Joskus hyökkäys taas onnistuu vain hyvin tarkasti rajatuissa olosuhteissa: hyökkääjällä täytyy esimerkiksi jo olla käyttäjätunnus sivustolle tai käytössä pitää olla jokin tietty lisäosan toiminto.
WordPress-haavoittuvuuksia näkyy nyt enemmän, eikä se ole pelkkä tunne. Patchstackin mukaan vuonna 2025 WordPress-ekosysteemistä löytyi 11 334 uutta haavoittuvuutta, 42 % enemmän kuin vuonna 2024. Jo vuonna 2024 määrä oli kasvanut 34 % edellisvuodesta. Erityisesti vakavasti hyödynnettävien aukkojen määrä on noussut. Ylläpito on siis entistäkin tärkeämpää.
Haavoittuvuuksille annetaan yleensä riskitaso, joka kertoo muun muassa siitä, kuinka helposti niitä voidaan hyödyntää ja kuinka vakavia seurauksia onnistuneella hyökkäyksellä voisi olla. Kaikki tietoturvailmoitukset eivät ole yhtä kiireellisiä. Kriittiset ja korkean riskin ongelmat käyn läpi mahdollisimman nopeasti. Matalan riskin ongelmakin korjataan, mutta kyse ei välttämättä ole tilanteesta, jossa sivusto olisi juuri nyt välittömässä vaarassa. Olennaista on myös se, onko haavoittuvuudelle jo olemassa korjaava päivitys.
Tämä on välillä ylläpitäjän työn turhauttava puoli: haavoittuvuus voidaan julkaista ennen kuin ohjelmiston tekijä on saanut korjauspäivityksen valmiiksi. Silloin ei ole olemassa nappia, jota painamalla ongelman voisi vain poistaa. Tilannetta seurataan, arvioidaan käytännön riskiä ja odotetaan korjaavaa versiota. Joskus se tulee saman päivän aikana, joskus vasta muutaman päivän päästä ja toisinaan myöhemminkin. Jopa 46 prosenttiin (!) vuonna 2025 julkistetuista haavoittuvuuksista ei ollut korjausta valmiina silloin, kun tieto haavoittuvuudesta tuli julki (Patchstack).
Siksi WordPress-ylläpito ei oikeastaan ole vain päivitysten asentamista. Se on myös jatkuvaa arviointia siitä, mikä vaatii toimintaa heti, mikä voidaan hoitaa normaalissa päivityskierrossa ja missä tapauksessa joudutaan yksinkertaisesti odottamaan, että korjaus julkaistaan. Pahimmillaan ohjelmalle täytyy löytää korvaava ja joskus se tarkoittaa syvempiäkin muutoksia sivustolla. Mitä vanhempi sivusto, sitä enemmän niistä löytyy ohjelmia, joita ei enää ylläpidetä.
Uudenlaista kilpajuoksua ajan ja päivitysten kanssa
Minusta tuntuu, että olemme parhaillaan uudenlaisessa kilpajuoksussa. Tekoäly nopeuttaa ohjelmistojen kehittämistä, mutta nopeus ei automaattisesti tarkoita huolellisempaa koodia. Samalla samat työkalut ovat myös tietoturvatutkijoiden ja hyökkääjien käytössä. Haavoittuvuuksia löydetään nopeammin, niistä opitaan nopeammin ja niitä voidaan myös yrittää hyödyntää nopeammin kuin ennen.
En siis väittäisi, että tekoäly aiheuttaa WordPressin tietoturvaongelmat. Mutta epäilen vahvasti, että se kiihdyttää koko järjestelmää. Koodia syntyy enemmän, haavoittuvuuksia löydetään tehokkaammin ja hyökkäysten automatisointi helpottuu. Samaan aikaan sivustojen ylläpitäjät ja ohjelmistokehittäjät yrittävät pysyä vauhdissa mukana.
Takavuosina ylläpito oli ehkä enemmän sitä, että ratkottiin konkreettisia teknisiä ongelmia — jokin lisäosa rikkoi sivun, PHP-versio vaihtui, palvelin temppuili, välimuisti sotki näkymän tai sivusto hidastui. Nyt rinnalle on tullut jatkuva turvallisuuteen liittyvä valppaus: päivityksiä, haavoittuvuusilmoituksia, riskien arviointia, tarkistuksia ja joskus sama kierros uudelleen vain muutaman päivän päästä.
Ja siinä on vähän paradoksaalinen puoli: hyvä ylläpito näyttää asiakkaalle usein siltä, ettei mitään tapahdu. Sivusto vain toimii. Mutta taustalla työ voi olla nykyään paljon aktiivisempaa kuin ennen.
