Haavoittuvuus ehtii ensin

Haavoittuvuus on ohjelmistossa tai laitteessa oleva heikkous, jota ulkopuolinen voi käyttää hyväkseen. Yksittäinen haavoittuvuus ei vielä ole tietomurto. Siitä tulee yhteiskunnan ongelma silloin, kun sama heikkous on tuhansissa palveluissa ja korjaus ei ehdi perille ennen kuin haavoittuvuutta jo etsitään verkosta.

Viime viikolla tuo ketju näkyi Suomessa. Keskiviikkona 21.10.2026 PHP-projekti julkaisi korjaukset kahteen kriittiseen haavoittuvuuteen. Traficomin Kyberturvallisuuskeskus luokitteli ne kriittisiksi (CVSS 4.0 -arvo 9.2) ja kehotti päivittämään kaikki PHP:tä käyttävät sovellukset heti. Seuraavana aamuna Yle kertoi, että häiriöt jatkuivat muun muassa Maanmittauslaitoksen, Ilmatieteen laitoksen ja oikeus.fi-palvelun sivuilla. Valtion tieto- ja viestintätekniikkakeskus Valtori oli sulkenut julkisia palveluita varotoimena.

”Työurani aikana näin järeisiin toimenpiteisiin ei ole aiemmin tarvinnut ryhtyä.”

Hannu Naumanen, Valtori, Yle Uutiset 22.10.2026. PHP-haavoittuvuuksien aiheuttamat verkkohäiriöt jatkuvat

Kyberturvallisuuskeskus muistutti, että haavoittuvuus laajasti käytetyssä ohjelmistossa ei tarkoita, että jokainen sitä käyttävä sivusto olisi murrettu tai että käyttäjien tiedot olisivat vaarantuneet. Sulkeminen oli suojaustoimi, jolla ostettiin aikaa päivitykselle. Viikkokatsaus 43/2026 ja haavoittuvuustiedote 37/2026.

Meillä atFlow’lla sama korjaus ehti ylläpitämiimme ympäristöihin keskiviikkona 21.10. ilman, että asiakkaiden sivustoja tarvitsi sulkea. Ero syntyi siitä, oliko ympäristö sellaisessa kunnossa, että korjaus voitiin asentaa heti.

Haavoittuvuuksia tulee enemmän kuin ehditään lukea

Vuoden 2026 toinen neljännes (20 709) ylitti koko vuoden 2021 (20 161). Pylväs kattaa vain kaksi ensimmäistä neljännestä, noin 74 % koko vuoden 2025 määrästä. Kolmannen neljänneksen lukua ei ollut vielä julkaistu 23.10.2026. Lukuun vaikuttaa myös 559 CNA:ta 43 maassa.

Lähde: CVE-ohjelma

Kasvu ei ole pelkkä mittari vaarasta. Jokainen tietue ei ole yhtä kiireellinen. Internetiin näkyvä palvelin, palomuuri tai VPN-yhdyskäytävä on eri asia kuin sisäinen komponentti, johon ei pääse verkosta.

Verizonin vuoden 2026 Data Breach Investigations Report tarkasteli yli 31 000 tietoturvatapausta, joista yli 22 000 oli vahvistettuja tietomurtoja 145 maassa. Aineisto kattaa lokakuun 2024 ja marraskuun 2025 välisen ajan. Haavoittuvuuden hyväksikäyttö nousi ensimmäistä kertaa 19-vuotisen seurannan aikana yleisimmäksi sisäänpääsyksi: 31 prosenttia, kun varastetut tunnukset olivat 13 prosenttia. Edellisessä raportissa haavoittuvuuksien osuus oli 20 prosenttia.

CISA Known Exploited Vulnerabilities -luettelon haavoittuvuuksista vain 26 prosenttia saatiin kokonaan korjattua vuoden 2025 aikana (vuotta aiemmin 38 %). Mediaaniaika täyteen korjaukseen venyi 32 päivästä 43 päivään. Tyypillisellä organisaatiolla oli korjattavana 16 tällaista haavoittuvuutta, kun vuotta aiemmin luku oli 11. Verizon DBIR 2026 ja Verizonin yhteenveto.

Ikkuna sulkeutuu tunneissa, korjaus kestää viikkoja

Traficomin tammikuussa 2026 julkaiseman katsauksen mukaan hyökkääjät hyödyntävät kriittisiä haavoittuvuuksia entistä nopeammin, jopa minuuteissa ja tunneissa. Kesäkuun 2026 puolivuosikatsauksen mukaan hyväksikäyttö alkaa usein pian julkistamisen jälkeen ja joskus jo ennen sitä. Verizonin julkisen yhteenvedon mukaan tunnetun haavoittuvuuden hyväksikäyttö on nopeutunut kuukausista tunteihin.

ENISA Threat Landscape 2025 kuvaa 4 875 tapausta ajalta 1.7.2024–30.6.2025. Tietojenkalastelu noin 60 prosenttia sisäänpääsyistä, haavoittuvuuden hyväksikäyttö 21,3 prosenttia. Nämä eivät ole sama mittari kuin Verizonin 31 prosenttia: ENISA kuvaa EU-tapausten sisäänpääsyjä, Verizon vahvistettujen tietomurtojen alkusyitä. ENISAn aineistossa haavoittuvuustapauksista lähes 70 prosenttia johti tunkeutumiseen, ja 68 prosentissa näistä tapauksista ympäristöön päätyi haitallinen koodi. ENISA Threat Landscape 2025.

Suomessa Kyberturvallisuuskeskus kirjasi vuonna 2025 yhteensä 16 729 verkkohuijaus- ja tietojenkalastelutapausta, noin 20 prosenttia enemmän kuin edellisenä vuonna. Tietomurtojen keskeisimmät syyt olivat tietojenkalastelu ja haavoittuvat verkon reunalaitteet (VPN, palomuurit, reitittimet). Kiristyshaittaohjelmista ilmoitettiin 14 tapausta; ilmoitus on vapaaehtoinen ja keskus sanoo todellisen määrän voivan olla suurempi. Tyypillinen ilmoitusmäärä on ollut noin 40 tapausta vuodessa. Verizonin aineistossa kiristyshaittaohjelma oli mukana 48 prosentissa tietomurroista. Kybertilannekuva 2025.

Toimitusketju siirtää riskin naapuriin

Verizonin aineistossa kolmannen osapuolen kautta tullut tietomurto oli 48 prosenttia, 60 prosenttia edellisvuotta enemmän.

”Toimitusketjujen ja digitaalisten riippuvuuksien kasvaessa myös hyökkäyspinta laajenee. Yksittäinen heikkous ohjelmistotoimittajassa, pilvipalvelussa tai IoT-laitteessa voi avata tien koko organisaatioon.”

Anssi Kärkkäinen
Ylijohtaja, Traficomin Kyberturvallisuuskeskus
Lähde: Traficom 15.6.2026, Kyberturvallisuuden ensimmäinen vuosipuolisko 2026

Vuoden 2025 katsauksessa keskus nostaa esimerkiksi haittaohjelman, joka oli joissakin Android-laitteissa mukana jo tehtaalta. Sivusto, kauppa tai varausjärjestelmä koostuu alustasta, kielestä, lisäosista, maksupalvelusta ja palvelimesta.

Lokakuun PHP-tapauksessa kyse ei ollut yhden yrityksen lisäosasta, vaan kielestä, jonka päällä suuri osa verkosta toimii. Tietoturvayhtiö Wiz arvioi Ylen mukaan, että haavoittuvuudet koskettivat jopa 70:tä prosenttia maailman verkkosivuista. Luku on yhtiön arvio levinneisyydestä, ei laskelma murretuista sivuista.

Samalla viikolla julkaistiin korjaus toiseenkin kriittiseen haavoittuvuuteen, Broccoli2Shelliin (CVE-2026-111497). Sitä luultiin ensin Node.js:n viaksi, mutta heikkous oli Googlen Brotli-pakkauskirjastossa, jonka sadat tuotteet kuljettavat mukanaan. Automaattiset tarkistukset eivät aluksi nähneet kirjastoa, kun se oli upotettu toisen komponentin sisään. Vanhaan ajoympäristöön korjausta ei välttämättä edes tullut, vaan koko alusta piti päivittää.

Tekoäly nopeuttaa molempia puolia

Kyberturvallisuuskeskus kuvaa vuotta 2026 käännekohdaksi.

”Vaikka tekoäly kasvattaa hyökkääjien toimintamahdollisuuksia, se tarjoaa myös merkittäviä hyötyjä puolustajille. Tekoälyä voidaan hyödyntää poikkeamien havaitsemisessa, lokitietojen analysoinnissa, uhkien tunnistamisessa sekä haavoittuvuuksien löytämisessä. Tekoäly ei kuitenkaan ainakaan vielä korvaa asiantuntijoita, vaan sen turvallinen hyödyntäminen edellyttää jatkuvaa valvontaa, osaamista ja riskienhallintaa.”

Anssi Kärkkäinen
Ylijohtaja, Traficomin Kyberturvallisuuskeskus
Lähde: Traficom 15.6.2026, Kyberturvallisuuden ensimmäinen vuosipuolisko 2026

Verizonin julkisen yhteenvedon mukaan työntekijöiden luvaton tekoälyn käyttö nousi vuodessa 15 prosentista 45 prosenttiin työntekijöistä.

Kyberturvallisuuskeskuksen vuoden 2025 ennakoinnin mukaan tekoälyavusteinen ohjelmointi nopeuttaa kehitystä, ja haavoittuvuuksia sekä epäselviä riippuvuuksia voi päätyä tuotantoon aiempaa helpommin.

Sääntely on jo käynnissä

Vuonna 2025 Suomessa tuli voimaan kyberturvallisuuslaki (NIS2). Suurin osa ilmoituksista perustuu yhä vapaaehtoisuuteen.

Euroopan kyberkestävyysasetuksen mukaan 11.9.2026 alkaen valmistajien on ilmoitettava aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista. Varoitus 24 tunnissa, täysi ilmoitus 72 tunnissa. Aktiivisesti hyväksikäytetystä haavoittuvuudesta loppuraportti 14 päivän kuluessa siitä, kun korjaava toimi on saatavilla. Vakavasta poikkeamasta loppuraportti kuukauden kuluessa. Ilmoitus kerran ENISAn alustaan. Tuotevelvoitteet 11.12.2027. Komission tiedote ja ilmoitusvelvollisuus.

Kyberturvallisuuskeskuksen vuoden 2025 ennakoinnissa siirtymä kvantinkestävään salaukseen on seurattava ilmiö. Keskus ei anna sille päivämäärää.

Mitä tästä seuraa

Traficomin Kyberturvallisuuskeskuksen ylijohtaja Anssi Kärkkäinen sanoi 15.6.2026, että haavoittuvuuksien nopea korjaaminen, järjestelmien ja laitteiden säännölliset päivitykset sekä laitteiden koko elinkaaresta huolehtiminen ovat keskeisiä keinoja riskien hallinnassa.

Kärkkäinen totesi samassa yhteydessä, että kyberhyökkäysten ennalta estäminen on myös huomattavasti edullisempaa kuin niiden vaikutusten korjaaminen. Traficom 15.6.2026

Tulevaisuus ei näytä erilliseltä tietoturvaprojektilta, joka päättyy auditointiin. Se näyttää ylläpidolta, joka on mitoitettu tuntien eikä kvartaalin mukaan. Haavoittuvuuksia tulee lisää, tekoäly lyhentää hyväksikäytön viivettä, ja sääntely kysyy jo nyt, miten nopeasti valmistaja ja ylläpitäjä reagoivat. Organisaatio, joka tuntee ympäristönsä ja pystyy päivittämään sen hallitusti, ostaa itselleen sen ajan, jonka muut joutuvat ostamaan sulkemalla palvelun.

”Tietoturva ei ole enää kerran vuodessa tehtävä tarkistus. Kun kriittinen korjaus julkaistaan iltapäivällä, ympäristön pitää olla sellainen, että se voidaan asentaa saman päivän aikana ja palvelu pysyy auki.”

Pekka Rönkkönen
Toimitusjohtaja, atFlow Oy

Lähteet

• CVE-ohjelma, Metrics
• Verizon Data Breach Investigations Report 2026
• Verizonin julkinen yhteenveto DBIR 2026:sta
• ENISA Threat Landscape 2025
• Traficom, Kybertilannekuva 2025
• Traficom, Suomen kyberturvallisuuden vuosi 2025
• Traficom, kyberturvallisuuden ensimmäinen vuosipuolisko 2026
• Kyberturvallisuuskeskuksen viikkokatsaus 43/2026
• Haavoittuvuus 37/2026
• Wiz, Broccoli2Shell
• Yle Uutiset 22.10.2026
• Euroopan komissio, kyberkestävyysasetuksen ilmoitukset 11.9.2026
• Euroopan komissio, CRA-ilmoitusvelvollisuus