Lyhyesti: Tietoturva-aukko kunnan verkkosivulla on julkisuudelle näkyvä poikkeama. Selvittäkää, kuka palvelinta ylläpitää, pyytäkää PHP-korjaus ja uudelleenkäynnistys vahvistettuna ja pitäkää hätäsivu valmiina, jos sivusto on otettava hetkeksi pois verkosta. Viestintä asukkaille ja lehdistölle kannattaa sopia ennen kuin kysymyksiä tulee.
Mitä PHP-järjestelmiä kunnat tyypillisesti ylläpitävät
Monet kuntien verkkosivustot toimivat TYPO3:lla, lisäksi muilla PHP-järjestelmillä. Pääsivuston ympärille syntyy lisää sovelluksia: verkkolomakkeita hakemuksille ja ilmoittautumisille, vika-ilmoitusjärjestelmiä, tapahtumakalentereita, asukasosallistumista, työpaikkaportaaleja, päiväkotipaikkojen varausta, matkailusivustoja, kirjastoluetteloita ja yksittäisten laitosten, kuten musiikkikoulun tai kunnallisten energialaitosten, sivustoja.
Osan näistä sovelluksista kunta ylläpitää itse, osan kunnallinen konesali, kuntayhtymä tai erikoisjärjestelmän valmistaja. Joka haluaa sulkea PHP:n haavoittuvuuden, sen on ensin tiedettävä, minkä palvelimilla mikäkin sovellus toimii.
Pienemmillä kunnilla ei useinkaan ole omaa IT-osastoa. Siellä pääosaston työntekijä hoitaa sivustoa sivutoimisesti, tekniikka on toimistolla ja sopimukset ovat ajalta, jolloin kukaan ei ajatellut ohjelmointikielen kriittisiä haavoittuvuuksia. Suuremmilla kaupungeilla on päinvastainen ongelma: virastojen, hankkeiden ja laitosten sivustoja on niin paljon, ettei kukaan tunne koko listaa.
Mitä kunnan verkkosivuilla on pelissä
Lomakkeissa ja portaaleissa on kansalaisten tietoja: osoitteita, syntymäaikoja, lasten tietoja päiväkoti- ja kouluilmoittautumisissa, valokuvia ja sijainteja vika-ilmoituksissa, hakemuksia. Julkisiin elimiin sovelletaan GDPR:ää ja osavaltion tietosuojalakia, ja toimivaltainen on yleensä osavaltion tietosuojaviranomainen.
Vähintään yhtä painavaa on eheys: kunnan verkkosivusto on virallinen lähde. Manipuloitu sisältö, väärennetyt kuulutukset tai uudelleenohjaukset petossivuille kaupungin nimellä vahingoittavat luottamusta paljon teknistä vahinkoa laajemmin.
Kunnallisilla verkkotunnuksilla on luottamusta asukkaiden ja hakukoneiden keskuudessa. Juuri se tekee ne houkutteleviksi hyökkääjille: roskapostin lähettäjinä, petossivujen säilytyspaikkana tai valeuutisten alustana, esimerkiksi vaaleista, myrskyistä tai maksuista.
Kunta ja verkkosivun tietoturva-aukko: kuka päättää mistä?
| Rooli | Tyypillinen tehtävä poikkeamassa |
|---|---|
| Kunnallinen konesali tai IT-palveluntarjoaja | Palvelin, PHP-paketit, uudelleenkäynnistys, verkon erottaminen |
| Pääosasto tai IT-koordinointi | Kokonaisohjaus, toimeksiannot, hätäsuunnitelma |
| Viestintäyksikkö | Asukkaiden ja median tiedottaminen |
| Viranomaisen tietosuojavastaava | Ilmoitusvelvollisuuden arviointi |
| Verkkotoimisto | CMS, laajennukset, sisällöt |
Aukko syntyy usein konesalin ja toimiston väliin: konesali ylläpitää palvelinta, toimisto huoltaa TYPO3:a, ja kumpikin oletaa toisen huolehtivan PHP:stä. TYPO3:n päivitys ei sulje PHP2Shelliä.
BSI on arvioinut tilanteen varoitustasolle 3 / oranssi ja suosittelee välitöntä päivitystä. Jos kunnallista verkkopalvelinta ei voi korjata heti, ottakaa se tilapäisesti pois verkosta ja kytkekää staattinen hätäsivu.
Ensimmäiset tunnit hallinnossa
- Listatkaa kaikki verkkoon pääsyn tarjoavat sivustot ja erikoisjärjestelmät, mukaan lukien laitokset ja matkailu.
- Pyytäkää kyseiseltä ylläpitäjältä kirjallinen vahvistus: PHP on versiossa 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai backport on asennettu, kaikki prosessit on käynnistetty uudelleen.
- Ottakaa vahvistamattomat järjestelmät pois verkosta tai suojatkaa ne korjaukseen asti virtuaalisella korjauksella. Cloudflare huomauttaa, etteivät pelkkiin pyyntötietoihin perustuvat säännöt riitä; kyse on sillasta, ei korvikkeesta.
- Varmistakaa lokit 20.10.2026 alkaen.
- Informoikaa viestintäyksikköä ja tietosuojavastaavaa ja sopikaa asiallinen viestilinja. Apua tähän antaa kriisiviestintä-sivu.
Mitä BSI suosittelee yksityiskohtaisesti, tiivistää sivu BSI:n suositukset PHP2Shellistä. Hankintaa ja kiireellistä toimeksiantoa koskevat kysymykset selvitätte sisäisten sääntöjenne mukaan.
Ennakointi: hätäsivu, inventaario ja sijaisuus
Seuraava kriittinen haavoittuvuus tulee varmasti. Kolme valmistelua säästää silloin tunteja: valmis staattinen hätäsivu puhelinnumeroineen, aukioloaikoineen ja kiireellisiä asioita koskevine ohjeineen, joka voidaan tarjota ilman PHP:tä. Ylläpidetty inventaario kaikista verkkosovelluksista ylläpitäjineen, yhteyshenkilöineen ja sopimusperusteineen. Ja sijaisuusjärjestely, jotta päätöksiä, kuten sivuston sulkemista, voidaan tehdä myös iltaisin ja viikonloppuisin.
Nämä kohdat kuuluvat hallinnon IT-hätäsuunnitelmaan. Liikelaitosten, kunnallisten energialaitosten ja omia verkkosivuja ylläpitävien laitosten tulisi esiintyä siinä nimenomaisesti, koska ne muuten puuttuvat kartoituksesta.
Miten PHP SOS auttaa konkreettisesti?
- Tuemme IT-koordinointianne inventaarissa ja selvitämme konesalin, valmistajien ja toimiston kanssa, kuka korjaa minkäkin järjestelmän.
- Siellä, missä ylläpidätte itse, hoidamme PHP-korjauspalvelun kautta päivityksen, uudelleenkäynnistyksen ja kirjallisen todistuksen.
- Kun on epäily vaarantumisesta, varmistamme jäljet ja tarkistamme sisällöt manipuloinnin varalta, ennen kuin sivusto palaa verkkoon.
- Dokumentoimme kulun niin, että tietosuojavastaava, hallinnon johto ja tarkastus voivat seurata sitä.
Usein kysytyt kysymykset
Saammeko yksinkertaisesti sulkea kunnan verkkosivun?
BSI (Saksan liittovaltion tietoturvavirasto) suosittelee ottamaan verkkopalvelimet tilapäisesti pois verkosta, jos päivitystä ei voi tehdä heti. Kunnille sopii staattinen hätäsivu tärkeimmillä yhteystiedoilla. Kuka saa päättää tästä sisäisesti, kannattaa kirjata hätäsuunnitelmaan.
Koskeeko tämä valtuuston tietojärjestelmää?
Se riippuu tekniikasta ja ylläpidosta. Valtuuston tietojärjestelmiä ja verkkopalveluita ylläpitävät usein erikoisjärjestelmien valmistajat tai kunnalliset konesalit. Kysykää sieltä konkreettisesti PHP:n käytöstä, korjaustilasta ja uudelleenkäynnistyksestä.
Mikä tietosuojaviranomainen vastaa kunnista?
Osavaltioiden ja kuntien julkisista elimistä vastaa yleensä kyseisen osavaltion tietosuojaviranomainen. Lisäksi sovelletaan osavaltioiden tietosuojalakeja. Viranomaisenne tietosuojavastaava tuntee ilmoitusreitit.