Tekoäly löytää haavoittuvuuksia ihmistä nopeammin – PHP-vuoto on vasta alkusoittoa, sanoo asiantuntija
Amazonin ja watchTowrin uudet havainnot paljastavat, miksi 14 vuotta piilleestä PHP-viasta tuli viikossa kriisi.
Tiivistelmä
Amazonin uhkatiedustelu ja watchTowr raportoivat, että PHP:n kriittistä haavoittuvuutta yritettiin hyväksikäyttää jo ennen sen julkistamista 21.10. F-Securen asiantuntija Laura Kankaala sanoo kehityksen olevan osa laajempaa muutosta, jossa tekoälyagentit löytävät ja ketjuttavat haavoittuvuuksia ihmistä nopeammin. Kyberturvallisuuskeskus ei ollut 21.10. kello 18.21 vahvistanut aktiivista hyväksikäyttöä Suomessa, ja osa valtion palveluista oli yhä poissa käytöstä torstaiaamuna.
Haavoittuvuus oli piilossa PHP-ohjelmointikielen ytimessä 14 vuotta, ja sen löysi lopulta kone, ei ihminen.
Valtori sulki valtionhallinnon verkkopalvelujen liikennettä varotoimena 21.10., kun PHP:n ydinkoodista paljastui kaksi kriittistä etäkoodin suorittamisen mahdollistavaa haavoittuvuutta. Vika oli ollut koodissa vuodesta 2012, mutta sen löysivät vasta tekoälyavusteista haavoittuvuustutkimusta tekevä yhtiö Calif ja erikseen Googlen omistama Wiz. PHP:tä käytetään arviolta 70 prosentissa maailman verkkosivuista, mikä kertoo kielen laajuudesta, ei siitä, kuinka moni yksittäinen sivusto on todellisuudessa alttiina.
Vuosien 2012 ja 2026 välissä satoja ihmistutkijoita on käynyt läpi PHP:n lähdekoodia tavallisin koodikatselmuksin ja manuaalisin testauksin. Kumpikaan tätä löytynyt virhe ei vaatinut uutta hyökkäystekniikkaa, vaan kahden vanhan, erikseen vaarattoman oikun yhdistämistä oikeassa järjestyksessä. Se on juuri sellainen kombinatorinen ongelma, jossa tekoälyn järjestelmällinen kokeilu voittaa ihmisen rajallisen ajankäytön.
Hyväksikäyttö alkoi ennen julkistusta
Amazonin uhkatiedustelutiimi julkaisi tällä viikolla uutta tietoa haavoittuvuuden hyväksikäytöstä. Sen MadPot-hunajapottiverkosto havaitsi ensimmäisen hyväksikäyttöyrityksen jo 17.10., neljä päivää ennen korjauksen julkaisua 21.10.
Ensimmäinen laaja hyväksikäyttöaalto korjauksen jälkeen kirjattiin noin kello 2.00 UTC 21.10., ja sen takana oli useita toisistaan riippumattomia hyökkääjäryhmiä.
watchTowr vahvisti samankaltaisen kuvan omassa tiedotteessaan. Yhtiön Attacker Eye -hunajapottiverkosto on havainnut hyväksikäyttöä luonnossa molempia haavoittuvuuksia vastaan.
Kumpikaan yhtiö ei ole nimennyt yhtä vahvistetusti murrettua uhria, suomalaista tai muuta. Havainnot ovat hyväksikäyttöyritys- ja hunajapottitelemetriaa, eivät vahvistettuja tietomurtoja.
Kyberturvallisuuskeskuksen haavoittuvuustiedote 2026-37 ei ollut 21.10. kello 18.21 vahvistanut aktiivista hyväksikäyttöä Suomessa. Valtori kertoi viimeisimmässä päivityksessään 22.10. kello 11 korjausten ja testauksen jatkuvan, ja arvioi palvelujen palautumisen voivan viedä päivistä aina viikkoihin asti. Maanmittauslaitoksen sivusto oli yhä poissa käytöstä torstaiaamuna.
Kone löytää nopeammin kuin ihminen
Laura Kankaala, F-Securen tietoturva-asiantuntija, pitää PHP-tapausta esimerkkinä laajemmasta murroksesta.
– Me olemme tällä polulla nyt, eikä tästä oikein enää ole keinoa kääntyä takaisin, hän sanoo Ylelle.
Yhdysvaltalainen tietoturvatutkija Thomas Ptacek ennusti maaliskuussa 2026 blogissaan, että tekoäly mullistaisi haavoittuvuustutkimuksen kuukausien sisällä. Ennuste osui kohdalleen. OpenAI:n Codex Security -agentti on löytänyt yli 10 000 vakavaa haavoittuvuutta avoimen lähdekoodin kirjastoista käytyään läpi 1,2 miljoonaa koodimuutosta, joista 792 luokiteltiin kriittisiksi ja loput vakavuusasteikolla korkeiksi.
Luku ei kerro, montako näistä päätyi koskaan rikollisten käsiin, mutta se on osoitus siitä, että koneellinen haavoittuvuustutkimus on siirtynyt kokeiluvaiheesta tuotantokäyttöön molemmilla puolilla rintamaa, hyökkääjillä ja puolustajilla yhtä aikaa.
– Tekoälytyökalut hakkeroivat ihan samalla tavalla kuin ihmiset, Kankaala toteaa.
Ero on nopeudessa ja määrässä. Siinä missä ihmistutkija testaa työaikansa puitteissa rajallisen joukon oletuksia, tekoälyagentti voi kokeilla miljoonia yhdistelmiä rinnakkain ja ympäri vuorokauden.
Haavoittuvuuksien ketjuttaminen
Kahden erikseen vaarattoman ohjelmistovian yhdistäminen voi tuottaa kriittisen hyökkäystien, jota kumpikaan vika yksinään ei mahdollistaisi. Ihmistutkija ehtii kokeilla rajallisen määrän yhdistelmiä, mutta tekoälyagentti testaa miljoonia polkuja rinnakkain ja löytää ketjun, joka ihmiseltä jäisi helposti huomaamatta.
Juuri tällaista brute force -testausta pidetään selityksenä sille, miksi 14 vuotta vanha PHP-vika muuttui kriittiseksi juuri nyt. Kankaala näkee ongelman laajempana kuin yksittäinen korjaus.
– Ongelma on se, että internet ja meidän yritystemme järjestelmät eivät ole valmiita kasvaviin hyökkäyksiin, hän sanoo.
Esimerkki hinnasta näkyi vuoden 2026 Hugging Face -tietomurrossa. Kolmannen osapuolen arvion mukaan hyökkäyksen laskentakustannukset olivat 4–15 miljoonaa dollaria, eli arviolta jopa 15 miljoonaa dollaria. Summa ei ole vahvistettu eikä Hugging Facen itse ilmoittama, mutta se antaa osviittaa siitä, kuinka kallista laajamittainen tekoälyagenttien käyttö hyökkäyksissä on toistaiseksi.
Mitä tehdä
Verkkosivuston ylläpitäjän kannattaa toimia nopeasti, oli kyse pienyrittäjästä tai valtion virastosta.
- Päivitä PHP versioon 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 ja käynnistä palvelin uudelleen.
- Tarkista erityisesti session.upload_progress-asetus ja siihen liittyvät lokit ensin, koska suurin osa havaitusta hyväksikäytöstä kohdistuu juuri siihen.
- Etsi lokeista myös poikkeavan suuria tai syvästi sisäkkäisiä multipart-pyyntöjä, PHP-FPM-työprosessien kaatumisia tai muistirajan ylityksiä.
- Tarkista, onko verkosta näkyviin hakemistoihin ilmestynyt odottamattomia tiedostoja, epäilyttäviä ulosyhteyksiä PHP-prosesseista tai uusia käyttäjätilejä ja cron-ajastuksia.
- Ilmoita havaituista hyväksikäyttöyrityksistä Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- Amazon Web Services (Threat Intelligence) (22.10.2026)
- watchTowr (22.10.2026)
- Yle (Teemu Hallamaa) (22.10.2026)
- Kyberturvallisuuskeskus (21.10.2026)
- Valtori (22.10.2026)
- Thomas Ptacek (sockpuppet.org) (30.03.2026)