Miksi perustin Aimovahdin

Olen ohjelmoinut PHP:llä vuodesta 2000 ja tehnyt WordPress-sivustoja vuodesta 2010. Ylläpitämilläni sivustoilla päivitykset ovat rutiinia: WordPress ja lisäosat päivitetään kuukausittain ja tietoturvapäivitykset heti, kun ne julkaistaan. Lokakuussa 2026 halusin tietää, miten asiat ovat niillä sivustoilla, joita kukaan ei ylläpidä.

Lokakuun PHP-korjaukset

PHP julkaisi 21.10.2026 korjaukset vakaviin tietoturva-aukkoihin ja kehotti päivittämään heti. Korjatut versiot olivat 8.2.35, 8.3.36, 8.4.27 ja 8.5.12. Kirjoitimme korjauksista tiedotteen.

Korjaukset auttavat kuitenkin vain sivustoja, jotka käyttävät tuettua PHP-versiota. Vanhoihin versioihin ei julkaistu virallisia korjausversioita. Vakavuuden vuoksi PHP:n tietoturvatiimi jakoi tällä kertaa versioille 7.4, 8.0 ja 8.1 lähdekoodikorjaukset, mutta palveluntarjoajan on asennettava ne itse.

PHP-versio	Tietoturvakorjaukset
7.4	päättyivät 28.11.2022
8.0	päättyivät 26.11.2023
8.1	päättyivät 31.12.2025
8.2	päättyvät 31.12.2026
8.3	31.12.2027 asti
8.4	31.12.2028 asti
8.5	31.12.2029 asti

Lähde: php.net: Supported Versions ja Unsupported Branches.

Mitä selvitys kertoi

Halusin tietää, kuinka montaa suomalaisyritystä asia koskee. Selvitin yritysten julkisista verkkosivuista, mitä PHP-versiota niiden WordPress-sivustot käyttävät, ja yllätyin.

Lähes joka kymmenennellä suomalaisyrityksen WordPress-sivustolla näkyy ulospäin PHP-versio, johon ei enää julkaista tietoturvakorjauksia.

Aimovahdin selvitys suomalaisyritysten julkisista verkkosivuista, lokakuu 2026.

Kävin läpi suomalaisyritysten verkkosivustoja, joiden osoite on yritysten julkisissa tiedoissa (YTJ), ja katsoin niistä ulospäin näkyvän PHP-version. Luku on alaraja: monella sivustolla PHP-versio ei näy ulospäin, joten todellinen määrä on todennäköisesti suurempi.

Vanhentuneita versioita löytyi pienten yritysten lisäksi myös isoilta. Useimmiten syy ei ole välinpitämättömyys. Moni yritys teetti sivustonsa vuosia sitten, ja tekijä on sen jälkeen lopettanut tai siirtynyt muihin töihin. Sivusto toimii yhä, mutta PHP, WordPress ja lisäosat ovat jääneet jälkeen.

Aukot löytyvät nyt nopeammin

Samaan aikaan aukkoja löytyy enemmän ja nopeammin kuin ennen. Alan arvioiden mukaan yksi syy on tekoäly, jota käyttävät sekä tietoturvatutkijat että hyökkääjät.

• Vuonna 2025 WordPress-ympäristöstä löytyi yli 11 000 uutta haavoittuvuutta, noin 42 % enemmän kuin vuotta aiemmin.
• Eniten hyödynnetyissä aukoissa ensimmäiset hyökkäykset alkoivat noin viidessä tunnissa julkaisusta.
• Yli 90 % aukoista oli lisäosissa, ei WordPressin ytimessä.

Lähde: Patchstack: State of WordPress Security in 2026.

Ennen riitti, että sivusto päivitettiin silloin tällöin. Nyt päivitysten pitää kulkea mukana koko ajan.

Siksi Aimovahti

Perustin Aimovahdin tätä varten: selvä paketti, kiinteä hinta ja rauhallinen työtapa, oli kyse pienen yrityksen esittelysivusta tai ison yrityksen verkkokaupasta. Jokainen päivitys kokeillaan ensin testiympäristössä, ja hinta sovitaan ennen kuin työ alkaa.

Seuraamme PHP:n, WordPressin ja suosittujen lisäosien tietoturvatiedotteita ja julkaisemme niistä suomenkieliset tiedotteet. Tarkistamme ylläpitoasiakkaiden sivustot ja kerromme, jos jokin vaatii toimia.

Tämä ei ole syy huoleen vaan rutiiniin. Ajan tasalla oleva sivusto ei ole boteille houkutteleva kohde.

Mistä aloittaa

Sivustonne PHP-version näette WordPressin hallinnassa: Työkalut → Sivuston terveys → Tiedot → Palvelin. Maksuton kuntotarkastus kertoo saman ja lisäksi sen, mitä päivittäminen vaatii ja mitä se maksaa.

Sivustonne PHP-versio	Mitä kannattaa tehdä
8.1 tai vanhempi	Päivitys nyt: PHP-päivitys turvallisesti. Jos sivusto on vuosia jäljessä, Pelastus.
8.2	Päivitys ennen 31.12.2026: PHP-päivitys turvallisesti.
8.3 tai uudempi	WordPress ja lisäosat ajan tasalle, ja jatkossa ylläpito.