WordPress-tietoturvapäivitys 7.1.4 julkaistiin 28. lokakuuta 2026. WordPress suosittelee päivittämään nopeasti, koska julkaisu korjaa sivustoa pyörittävän ohjelmiston tietoturvaongelmia. Jos yrityksesi käyttää WordPressiä, pyydä sen ylläpitäjää vahvistamaan asennettu versio, järjestämään asianmukainen päivitys ja tarkistamaan sen jälkeen, että asiakkaat voivat yhä lähettää yhteydenottoja tai tehdä ostoksia.
Tämä on olemassa olevan sivuston ylläpitotehtävä. Ilmoitus ei kerro, onko oma asennuksesi päivittynyt tai onko siihen hyökätty. Näihin kysymyksiin tarvitaan kyseisestä asennuksesta saatua näyttöä.
Mitä WordPress-tietoturvapäivitys muuttaa
Julkaisu korjaa itse WordPressin ongelmia. Sen yksityiskohtaisessa dokumentaatiossa luetellaan tallennettuihin komentosarjoihin, sisällön käyttöoikeuksiin ja päivitysprosessiin liittyviä ongelmia, ja eri havainnoilla on erilaiset edellytykset. Tallennettu komentosarja on sisältöön tallennettua ei-toivottua koodia, joka suoritetaan myöhemmin selaimessa. Käyttöoikeusehdoilla on merkitystä selitettäessä, kuka olisi voinut lisätä sen.
Patchstackin teknisen analyysin mukaan useimmat luetellut ongelmat edellyttävät WordPress-tiliä, jolla on lupa luoda tai muokata sisältöä. Analyysi kuvaa myös heikkouden, jonka avulla hyökkääjä voi tietyissä olosuhteissa suorittaa koodia päivityksen aikana. Antaisimme ylläpitäjälle julkaisutiedotteen ja pyytäisimme häntä vahvistamaan asennetun version sekä ilmoittamaan mahdollisista päivitysvirheistä. Havainnot eivät osoita, että jokainen vierailija voisi hyödyntää jokaista ongelmaa.
Onko oma sivustosi todella päivitetty?
Vahvista yrityksesi verkkotunnusta palvelevassa asennuksessa käytössä oleva versio. WordPress dokumentoi kelpoisille sivustoille tehtävät taustalla suoritettavat tietoturvapäivitykset, mutta määritykset ja hosting-järjestelyt voivat vaikuttaa niihin. Tarkista asennettu versio selvittääksesi, vastaanottiko tämä asennus päivityksen. Kelpoisuus taustapäivityksiin ja asetukset kuvaavat aiottua prosessia, mutta eivät todista sen valmistuneen.
Kysy palveluntarjoajalta tai ylläpitäjältä, koskeeko heidän vahvistuksensa itse WordPressiin asennettua päivitystä vai hosting-palvelun suojaussääntöä. Pantheonin julkaisutiedote tarjoaa hyödyllisen esimerkin: sen mukaan alusta lisäsi suojaussääntöjä tiettyä ulkoista väärinkäyttöä vastaan mutta pyysi asiakkaita silti päivittämään sivustonsa. Tämä lausunto koskee Pantheonia eikä todista mitään toisesta palveluntarjoajasta.
Mitä ylläpitäjää kannattaa pyytää tekemään
Pyydä ylläpitäjää kirjaamaan asennettu versio ja tarkistamaan asiakkaiden sivustolla tekemä tärkein toiminto. Käyttäisimme alla olevia vaiheita sopiaksemme, mitä hän tekee ja mitä sinä tarkistat jälkikäteen. Tarkistukset eivät tarkoita, että tämän päivityksen tiedettäisiin rikkovan lomakkeita tai maksuja.
- Nimeä sivusto ja ylläpitäjä. Lähetä yrityksen verkkotunnus ja kysy, kuka asentaa päivityksen. Jos palveluntarjoaja vastaa ylläpidosta, käytä sen vakiintunutta tuki- tai käyttöönottoprosessia. Kirjaa muutosta edeltävä versio ja versio, jonka he aikovat asentaa.
- Tunnista käyttökelpoinen varmuuskopio. WordPressin varmuuskopiointiopas kertoo, että tavallinen täydellinen palautus edellyttää sekä tietokantaa että tiedostoja. Kysy, milloin varmuuskopio valmistui, missä sitä säilytetään ja kuka voi palauttaa sen. Kysy kaupankäyntiä harjoittavan verkkokaupan osalta, miten palautuksessa käsiteltäisiin varmuuskopioinnin jälkeen vastaanotetut tilaukset. Päivitykset ja varmuuskopiot kuuluvat yhteen verkkosivuston ylläpidossa.
- Asenna dokumentoitu päivitys. WordPress ilmoittaa tavalliseksi reitiksi Hallintapaneeli > Päivitykset > Päivitä nyt. Valtuutetun ylläpitäjän tulee käyttää hosting-ratkaisuun sopivaa reittiä. Jos näytöllä näkyy virhe tai siinä pyydetään tuntemattomia tunnuksia, lähetä tarkka viesti kyseiselle henkilölle sen sijaan, että arvailisit palvelinasetuksia.
- Vahvista asennettu versio ja testaa yhteydenotto- tai ostopolku. Pyydä lopullinen WordPress-versio. Lähetä sitten hyväksytty testiyhteydenotto ja vahvista, että se saapuu odotettuun postilaatikkoon tai asiakastietueeseen. Sivu, jonka mukaan lomake lähetettiin, jättää toimitusvaiheen testaamatta. Oppaamme verkkosivuston ja myynnin välillä katoavista liideistä selittää tämän siirron. Jos sivustolla myydään tuotteita tai palveluja, pyydä valtuutettua käyttäjää tarkistamaan ostopolku vakiintuneen turvallisen testausprosessin avulla ilman tahatonta veloitusta.
- Säilytä lyhyt valmistumismerkintä. Kirjaa sivusto, lopullinen versio, päivitysaika, varmuuskopion viite, vastuuhenkilö, testitulos ja mahdolliset vielä avoimet poikkeukset. Jos lomake syöttää tietoja asiakasjärjestelmään, sisällytä kohdetietue tarkistukseen osana lomake- ja CRM-integraatioita.
Jos sivusto käyttää vanhempaa WordPress-versiota
Anna ylläpitäjälle versionumero ennen tavoiteversion pyytämistä. WordPressin yksityiskohtaisella julkaisusivulla luetellaan korjauksia vanhempiin versioihin, kuten 7.0.8 ja 6.9.11. Sivulla sanotaan myös, että vain uusinta versiota tuetaan aktiivisesti. Vanhempaan versioon tarjottu tietoturvakorjaus on eri päätös kuin siirtyminen nykyiseen, aktiivisesti tuettuun versioon.
Pyydä ylläpitäjää vahvistamaan, mikä tietoturvapäivitys koskee asennettua versiota, ja tunnistamaan työ, jota sivuston siirtäminen nykyiseen versioon mahdollisesti edellyttää. Vanhemman version korjaus ei lupaa jatkuvaa täyttä tukea.
Entä jos päivitys epäonnistuu tai sivusto vaikuttaa vaarantuneelta?
Jos päivitys epäonnistuu, lähetä tarkka virhe ja sen ajankohta ylläpitäjälle tai palveluntarjoajalle. Epäilyttävät muutokset vaativat erillisen tutkinnan: WordPressin hakkeroitua sivustoa koskeva ohje alkaa ongelman ja sen ajankohdan dokumentoinnista. Pelkkä päivityksen asentaminen ei voi vastata siihen, miten tuntematon ylläpitäjätili ilmestyi tai vaikuttiko tapahtuma asiakastietoihin.
Pitäisimme nämä poikkeukset näkyvillä valmistumismerkinnässä.
