Tekoäly kiihdyttää tietoturvahaavoittuvuuksien löytymistä - mitä yritysten tulee huomioida?
Erittäin laajasti käytössä olevasta PHP-ohjelmistosta löydettiin kaksi kriittistä haavoittuvuutta lokakuussa 2026, jotka mahdollistavat haitallisen koodin suorittamisen haavoittuvalla palvelimella ilman tunnistautumista. Haavoittuvuudet olivat niin vakavia, että esimerkiksi Suomen valtionhallinnon julkisia verkkopalveluja ajettiin alas varotoimena ennen kuin ne saatiin päivitettyä.
Paljon huomiota herättänyt PHP-tapaus on vain yksi esimerkki monesta vastaavasta. Haavoittuvuuksia tullaan löytämään aikaisempaa nopeammin ja todennäköisesti myös enemmän. Yksi kehitystä kiihdyttävä tekijä on tekoäly. Ohjelmistokehittäjät ja tietoturvatutkijat hyödyntävät sitä ohjelmistokoodin analysointiin ja haavoittuvuuksien löytämiseen. Ja samoja mahdollisuuksia hyödyntävät valitettavasti myös verkkorikolliset.
Tekoälyavusteinen haavoittuvuuksien löytäminen johtaa myös tilanteeseen, jossa ohjelmistoihin julkaistaan aiempaa useammin korjauksia ja niitä pitää pystyä asentamaan nopeasti. Kun kriittinen haavoittuvuus julkaistaan, yrityksen täytyy myös ensin ylipäätään tiedostaa asia ja tietää koskeeko se omaa ympäristöä.
Pelkkä tieto haavoittuvuudesta ei vielä auta
Uudesta kriittisestä haavoittuvuudesta saadaan nopeasti tietoa, jos haavoittuvuustietoja seurataan aktiivisesti eri lähteistä. Vaikka tieto on saatavilla, se ei kuitenkaan ratkaise ongelmaa, jos yrityksessä ei tiedetä, missä teknologiaa käytetään.
PHP-tapaus havainnollistaa tätä hyvin. Haavoittuvuus ei koskenut vain yksittäistä verkkosivustoa tai sovellusta, vaan itse PHP-ajoympäristöä. Haavoittuva komponentti voi siis olla useiden erilaisten sovellusten ja laitteiden taustalla verkkosivuista palomuureihin.
Kun uusi kriittinen haavoittuvuus havaitaan ja julkaistaan, yrityksen pitäisi pystyä vastaamaan nopeasti ainakin seuraaviin kysymyksiin:
Onko kyseistä ohjelmistoa tai komponenttia käytössämme?
Mitä versioita siitä käytetään?
Millä palvelimilla, päätelaitteilla tai muilla laitteilla se sijaitsee?
Ovatko haavoittuneet järjestelmät saavutettavissa julkisen verkon kautta vai ovatko ne suojatun sisäverkon palveluita?
Kuka vastaa järjestelmän ylläpidosta ja päivittämisestä?
Jos näiden asioiden selvittäminen aloitetaan vasta kriittisen haavoittuvuuden julkaisemisen jälkeen, arvokasta aikaa menetetään jo ennen kuin ensimmäistäkään korjaavaa toimenpidettä on tehty.
Miten yrityksenne voi parantaa haavoittuvuuksien hallintaa?
Tunne IT-ympäristösi
Ajantasainen IT-ympäristön inventaario on tehokkaan haavoittuvuuksien hallinnan perusta, mutta pelkkä laiterekisteri ei riitä. Näkyvyyttä tarvitaan myös käyttöjärjestelmiin, asennettuihin sovelluksiin, ohjelmistoversioihin, palvelimiin, pilvipalveluihin ja mahdollisuuksien mukaan myös kriittisiin ohjelmistokomponentteihin.
Mitä paremmin ympäristö tunnetaan, sitä nopeammin uusi haavoittuvuustieto voidaan yhdistää juuri niihin järjestelmiin, joita se koskee, ja reagoida tilanteeseen nopeasti.
Kriittisten haavoittuvuuksien seuranta ja nopea korjaaminen
Haavoittuvuustietojen seuranta ei voi perustua siihen, että joku huomaa sattumalta uutisen.
Tietoa kannattaa kerätä keskitetysti ohjelmistovalmistajilta, viranomaisilta ja tietoturvatoimittajilta. Olennaista on myös sopia, kuka arvioi uuden haavoittuvuuden merkityksen ja kuinka nopeasti arviointi tehdään.
Tekoälyn nopeuttaessa haavoittuvuustutkimusta yritysten tulee olla valmiina tekemään ohjelmistopäivityksiä nykyistä nopeammin ja useammin. Kuukausittainen päivitysrytmi toimii hyvin normaalissa ylläpidossa, mutta kriittinen haavoittuvuus ei katso huoltoikkunan ajankohtaa.
Organisaatiolla pitäisi olla valmiiksi määritelty toimintatapa tilanteisiin, joissa korjaus tarvitaan nopeasti. Siihen kuuluvat esimerkiksi päätöksenteko, korjausten priorisointi, testaus, palautumissuunnitelma ja viestintä. Erityisesti suoraan internetiin avoimet järjestelmät tulee priorisoida, sillä niiden haavoittuvuuksia voidaan hyödyntää yrityksen suojatun sisäverkon ulkopuolelta.
Kaikkea ei myöskään välttämättä voida korjata heti. Tällöin pitää pystyä käyttämään väliaikaisia suojaustoimia, kuten verkkoyhteyksien rajoittamista, palvelun eristämistä tai haavoittuvan ominaisuuden poistamista käytöstä.
Haavoittuvuuksien hallinta ja vastuut ulkoistetuissa IT-palveluissa
Harvan yrityksen koko IT-ympäristö on enää omissa käsissä. Verkkosivustot, liiketoimintasovellukset, pilvipalvelut ja infrastruktuuri voivat olla useiden palveluntarjoajien vastuulla.
IT:n ulkoistaminen ei kuitenkaan poista haavoittuvuuden liiketoimintariskiä. Siksi pitäisi olla selvää, kuka seuraa haavoittuvuuksia, kuka arvioi niiden vaikutukset, kuka asentaa korjaukset ja miten nopeasti kriittiseen tilanteeseen pystytään reagoimaan.
Erityisen tärkeää tämä on tilanteessa, jossa korjaus pitäisi tehdä illalla, viikonloppuna tai muuten normaalin palveluajan ulkopuolella.
Haavoittuvuuksien hallinta vanhentuneissa järjestelmissä
Kaikkiin haavoittuvuuksiin ei ole heti saatavilla korjausta. Ympäristössä voi myös olla vanhentuneita järjestelmiä, joita valmistaja ei enää tue. PHP-tapaus näyttää ongelman konkreettisesti: tuettuihin PHP-versioihin julkaistiin korjaukset, mutta vanhemmille, elinkaarensa päässä oleville versioille ei välttämättä ole normaalia korjausta saatavilla.
Sen vuoksi haavoittuvuuksien hallinta ei voi tarkoittaa vain ohjelmistopäivitysten asentamista. Yrityksellä pitää olla vaihtoehtoisia keinoja pienentää riskiä ja suunnitelma vanhentuneiden järjestelmien poistamiseksi käytöstä.
Nopeudesta tulee entistä tärkeämpi osa tietoturvaa
Tekoäly nopeuttaa ohjelmistojen haavoittuvuuksien löytämistä ja auttaa kehittäjiä korjaamaan niitä entistä tehokkaammin. Samalla myös verkkorikolliset voivat hyödyntää tekoälyä haavoittuvuuksien etsimisessä ja hyväksikäytössä. Yritysten kannalta kehitys tarkoittaa sitä, että kriittisiin tietoturvauhkiin on pystyttävä reagoimaan aiempaa nopeammin.
PHP-tapaus osoitti konkreettisesti, miten laajasti käytetyn ohjelmistokomponentin haavoittuvuus voi aiheuttaa kiireellisiä toimenpiteitä hyvin erilaisissa organisaatioissa. Vastaavia tilanteita tullaan todennäköisesti näkemään jatkossakin.
Haavoittuvuuksien havainnointiin ja hallintaan on saatavilla myös automatisoituja ratkaisuja. Niiden avulla voidaan kartoittaa käytössä olevia ohjelmistoja ja niiden versioita, tunnistaa tunnettuja haavoittuvuuksia sekä priorisoida korjaustoimenpiteitä. Näin yrityksen ei tarvitse selvittää jokaista uutta uhkaa täysin manuaalisesti, ja kriittisiin haavoittuvuuksiin voidaan reagoida nopeammin.
Yritysten kannattaakin arvioida oman tietoturvansa tasoa myös reagointikyvyn näkökulmasta. Jos huomenna julkaistaan uusi kriittinen haavoittuvuus, kuinka nopeasti yrityksessänne pystytään selvittämään sen vaikutukset ja toteuttamaan tarvittavat suojaustoimenpiteet?
