WordPress versio 6.9.4 – tietoturvapäivitys
WordPress 6.9.3 päivitys korjaa tietoturvaongelmia ja joidenkin teemojen virheet
Haluatko kuulla lisää? Jätä puhelinnumerosi ja soitamme sinulle!
julkaistu 11.03.2026
WordPress 6.9.4 päivitys julkaistiin 11.3.2026
WordPress 6.9.4 julkaistiin vajaa vuorokausi artikkelin julkaisun jälkeen. Kyseessä on uusi tietoturvapäivitys, koska kaikkia WordPress 6.9.2 -version tietoturvakorjauksia ei saatu täysin mukaan versioihin 6.9.2 ja 6.9.3. Jos sivustosi on päivitetty versioon 6.9.3, se kannattaa päivittää edelleen versioon 6.9.4. WordPressin mukaan 6.9.4 sisältää tarvittavat lisäkorjaukset, ja se on tällä hetkellä turvallinen versio.
WordPress 6.9.2 ja 6.9.3 päivitykset julkaistiin 10.3.2026
WordPress 6.9.3 julkaistiin nopeana jatkopäivityksenä heti 6.9.2-version jälkeen 10.3.2026. Syy oli yksinkertainen: 6.9.2 korjasi tietoturvaongelmia, mutta samalla se rikkoi joillakin sivustoilla julkisen näkymän. Käytännössä osa sivustoista saattoi näyttää tyhjää sivua päivityksen jälkeen, jos käytössä oli teema, joka lataa sivupohjia poikkeavalla tavalla.
WordPress 6.9.3 on tietoturvapäivitys
WordPress 6.9.3 on tietoturvan kannalta kriittinen, sillä se sisältää kaikki aiemman WP 6.9.2-version kymmenen tietoturvakorjausta. Näihin lukeutuvat muun muassa estot palvelimen sisäisiin osoitteisiin kohdistuville pyynnöille, mediatiedostojen metatietoihin liittyvien tiedonvuotojen tilkitseminen sekä puutteellisten oikeustarkistusten korjaaminen.
Merkittävin ero aiempaan on toimivuus: WP 6.9.3 korjaa teemayhteensopivuusongelman, joka saattoi rikkoa sivuston julkisen näkymän WP 6.9.2-päivityksen jälkeen. WordPress 6.9.3 korjasi 6.9.2-version aiheuttaman teemayhteensopivuusongelman, mutta sen jälkeen julkaistu WordPress 6.9.4 täydensi aiemmin puutteellisiksi jääneitä tietoturvakorjauksia.
5 kriittistä syytä päivittää: Korjatut haavoittuvuudet
Päivitys 6.9.4: lisäkorjaukset tietoturvaan
WordPress 6.9.4 korjaa vielä kolme kohtaa, jotka jäivät aiemmassa tietoturvaketjussa puutteellisesti korjatuiksi. Näihin kuuluvat PclZip-kirjaston polkujen käsittelyyn liittyvä path traversal -ongelma, Notes-ominaisuuden käyttöoikeuksien ohitus sekä ulkoisen getID3-kirjaston XML External Entity -haavoittuvuus. Tämä tarkoittaa käytännössä sitä, että 6.9.3 ei jäänyt lopulliseksi turvalliseksi versioksi, vaan tietoturvakorjaukset jatkuivat heti seuraavana päivänä versioon 6.9.4.
WordPress 6.9.3 korjaa ulkoasuongelman, päivityksen tärkein syy on 6.9.2:n mukana tulleet tietoturvakorjaukset. Nämä haavoittuvuudet koskettavat monia yleisiä käyttötapauksia.
1. XML External Entity (XXE) mediatiedostoissa
Ongelma: Haavoittuvuus liittyi siihen, miten WordPress käsittelee mediatiedostojen metatietoja. Tietyissä tilanteissa järjestelmä saattoi käsitellä XML-sisältöä tavalla, joka mahdollisti palvelimen paikallisten tiedostojen lukemisen.
Riski: Jos hyökkääjä sai ladattua muokatun mediatiedoston, hän saattoi päästä lukemaan palvelimen arkaluontoisia tiedostoja (tietojen vuotaminen). Hyödyntäminen vaati vähintään kirjoittaja-tason (Author) oikeudet.
2. Blind SSRF XML-RPC pingback -toiminnon kautta
Ongelma: WordPressin XML-RPC-rajapinnan pingback-toimintoa voitiin käyttää väärin palvelinpuolen pyyntöjen väärentämiseen (Server-Side Request Forgery).
Riski: Hyökkääjä pystyi käyttämään WordPress-palvelinta ”välityspalvelimena” ja kohdistamaan pyyntöjä sisäverkkoon tai muihin ei-julkisiin palveluihin. Tämä mahdollisti sisäverkon kartoittamisen ja porttiskannauksen ilman kirjautumista.
3. Tallennettu XSS navigaatiovalikoissa
Ongelma: Navigaatiovalikoiden tallennuksesta löytyi haavoittuvuus, joka mahdollisti haitallisen JavaScript-koodin (Stored XSS) tallentamisen tietokantaan.
Riski: Koodi suoritetaan, kun ylläpitäjä tai kävijä avaa muokatun valikon. Ongelma koski erityisesti Multisite-ympäristöjä tai asennuksia, joissa unfiltered_html-oikeus oli poistettu käytöstä, mutta syötteen puhdistus petti.
4. Yksityisen tiedon vuotaminen (Query Attachments)
Ongelma: Mediakirjaston liitetiedostoja hakevassa AJAX-kyselyssä (wp_ajax_query_attachments) oli puutteellinen oikeustarkistus.
Riski: Kirjautunut käyttäjä saattoi nähdä sellaisten julkaisujen otsikoita, joihin hänellä ei pitäisi olla pääsyä (esim. yksityiset, luonnokset tai salasanasuojatut sivut), jos niihin oli liitetty mediatiedostoja. Tämä on klassinen tietovuotoriski, joka voi paljastaa esimerkiksi tulevia julkaisuja tai sisäisiä tiedotteita.
5. Oikeustarkistus uudessa Notes-ominaisuudessa
Ongelma: WordPress 6.9:n mukana tullut editorin Notes- eli muistiinpano-ominaisuus sisälsi REST API -tason virheen.
Riski: Matalilla oikeuksilla varustettu käyttäjä (esim. Tilaaja/Subscriber) saattoi lisätä kommentteja ja muistiinpanoja sisältöön, johon hänellä ei ollut muokkausoikeutta. Vaikka tämä ei salli koodin suoritusta, se on selkeä aukko käyttöoikeuksien hallinnassa (ACL).
Kannattaako WP 6.9.3 päivittää sivustolle?
Mikäli sivustosi käyttää WordPress 6.9.0- tai 6.9.1-versiota, päivitä versioon 6.9.3.
Mikäli sivustolla on paljon räätälöintejä, poikkeava teema tai se on liiketoimintakriittinen, tee päivitys ensin testiympäristöön (staging).
Tarkista päivityksen jälkeen vähintään:
- Etusivu ja yleinen ulkoasu
- Tuotesivut, ostoskori ja kassa
- Lomakkeiden toiminta
- Kirjautuminen
- Sähköpostien kulku
Tiivistelmä: WordPress 6.9.4
Tiivistelmä: WordPress 6.9.4
Julkaisu: 11.3.2026.
Sisältö: Täydentää 6.9.2- ja 6.9.3-versioiden jälkeen puutteellisiksi jääneitä tietoturvakorjauksia. Korjaukset koskevat PclZip-kirjastoa, Notes-ominaisuuden oikeustarkistuksia ja getID3-kirjaston XXE-haavoittuvuutta.
Toiminta: Päivitä WordPress 6.9.0–6.9.3 -versiot suoraan versioon 6.9.4
Pidä WordPress-ympäristosi ajan tasalla
WordPress kehittyy jatkuvasti – ja niin tulisi kehittyä myös sivustosi. Avosorsan WordPress-huolenpito varmistaa, että päivitykset tehdään oikeaan aikaan hallitusti, jolloin tietoturva ja toiminnallisuus pysyy hallinnassa ilman yllätyksiä.
Asiantuntijamme – kysy suoraan tekijältä
Kati Palm
Yrittäjä & viestinnän ja sisällön WordPress-asiantuntija
Kati on Avosorsan toinen perustaja, joka vastaa verkkosivujen sisällöistä, asiakaslähtöisestä viestinnästä ja käytettävyyden kehittämisestä. Hänellä on vahva tausta selkeän viestinnän, hakukonenäkyvyyden ja verkkokauppojen asiakaskokemuksen parantamisessa. Kati auttaa yrityksiä kertomaan viestinsä ymmärrettävästi ja vaikuttavasti – olipa kyse yrityssivuista, blogista tai GDPR-tiedotteista.
Ajankohtaista WP blogissa
WooCommerce 10.5.x – mitä muuttui?
'julkaistu: 18.02.2026
WooCommerce 10.5.x tuo useita käytännön parannuksia, jotka vaikuttavat suoraan verkkokaupan toimintaan. Maksut toimivat varmemmin, tilausten käsittelyssä on vähemmän virhetilanteita ja kaupan hallinta on aiempaa sujuvampaa.
Artikkelissa käyn läpi, mitä päivitys tarkoittaa kauppiaalle: milloin päivitys on järkevä ja mitä hyötyä muutoksista on myynnin ja toimintavarmuuden näkökulmasta.
WooCommerce haavoittuvuus (Store API) versioissa 8.1 – 10.4.2
'julkaistu: 23.12.2025
Olemme päivittäneet huolenpitoasiakkaidemme WooCommerce-verkkokaupat välittömästi tietoturvakorjauksen julkaisun jälkeen. Mikäli verkkokauppasi ei ole huolenpitomme piirissä, voit lukea alta mistä haavoittuvuudessa oli kyse ja miten varmistat, että oma WooCommerce -verkkokauppasi on ajan tasalla.
WordPress päivitykset ja versio 6.9 – mitä uutta ja miksi päivitys kannattaa tehdä
'julkaistu: 15.12.2025
WordPress 6.9 (6.9.1) on merkittävä päivitys yrityssivustoille ja verkkokaupoille. Artikkelissa käydään läpi, miten päivitys vaikuttaa suorituskykyyn, sisällönhallintaan ja sivuston ylläpitoon, mitä muutoksia se tuo kauppiaalle ja kehittäjälle sekä miksi päivityksen ajoitus kannattaa harkita huolellisesti. Mukana myös käytännön ohjeet, huomioitavat riskit ja näkökulma tuleviin automaatio- ja tekoälyratkaisuihin.
WooCommerce 10.4: Yhteenveto kauppiaalle
'julkaistu: 11.12.2025
WooCommerce 10.4 tuo lisää vakautta ja suorituskykyä – selvitä, miten päivitys vaikuttaa kauppasi myyntiin ja tilauksiin.
WooCommerce 10.3 – Kattava opas verkkokauppiaalle
'julkaistu: 24.10.2025
WooCommerce 10.3 tuo kauppiaille uuseita hyötyjä! Kustannusten seuranta ilman lisäosia, nopeampi kassa osoiteautomaatiolla sekä parannettu tietoturva ja maksujen toimivuus. Lue, miten päivitys kannattaa asentaa turvallisesti ja mitä hyötyä siitä on verkkokaupiaalle.
WordPress 6.8.3 – kriittinen tietoturvapäivitys
'julkaistu: 03.10.2025
WordPress 6.8.3 on kriittinen päivitys, joka paikkaa pitkään olleet haavoittuvuudet, kuten XSS- ja tietovuoto-aukot. Lue, miten suojaat sivustosi nopeasti ja tehokkaasti tällä tärkeällä tietoturvapäivityksellä.
Kommentoi