Britannian National Cyber Security Centre julkaisi 1. toukokuuta blogimerkinnän, jonka sävy poikkeaa viraston tavanomaisesta varovaisesta linjasta. Teknologiajohtaja Ollie Whitehouse kehottaa organisaatioita valmistautumaan paikkausaaltoon, jossa uusia haavoittuvuusilmoituksia tulee enemmän ja nopeammin kuin paikkausinfrastruktuuri ehtii käsitellä.
Syy on tekoälyssä. Kun osaava tutkija käyttää nykyisiä koodianalyysityökaluja, hän käy läpi vuosikymmenten ajan kerääntynyttä koodivelkaa nopeudella, joka oli aiemmin mahdoton. NCSC:n mukaan löydökset eivät rajoitu yhteen ohjelmistotyyppiin: avoimen lähdekoodin kirjastot, kaupalliset järjestelmät, talon sisäiset sovellukset ja SaaS-palvelut ovat kaikki saman tarkastelun kohteena.
Mekaniikka: vanha aukko, uusi nopeus
Whitehouse käyttää käsitettä forced correction, pakotettu korjausliike. Idea on, että ohjelmistoteollisuus on vuosikymmenet priorisoinut nopeaa toimittamista kestävän suunnittelun sijaan. Aukot ovat olleet koodissa koko ajan, mutta niiden löytäminen vaati kärsivällisyyttä ja erikoisosaamista. Tekoälyavusteinen analyysi muuttaa tämän laskelman.
Käytännön seuraus on, että haavoittuvuusilmoitusten määrä kasvaa nopeammin kuin paikkausaikataulut venyvät. Kriittisiä aukkoja katoaa rutiinipäivitysten massaan. NCSC varoittaa, että viive paikkauksen julkaisun ja asennuksen välillä on kompromissin ydin: jokainen tunti, jonka rajapinta on auki, kasvattaa hyökkääjän mahdollisuuksia.
“Tämän vuoksi kannustamme kaikkia organisaatioita valmistautumaan nyt, kun paikkausaalto saapuu.”
Kolme ohjetta puolustajalle
NCSC:n ohje tiivistyy kolmeen kohtaan. Ensimmäinen on internet-rajapintojen priorisointi: korjaa ensin se, mitä hyökkääjä näkee verkosta, ja työnnä korjauksia sieltä sisäänpäin pilvi- ja palvelinympäristöihin. Toinen on automaation pakottaminen oletukseksi. Tähän kuuluvat sulautetut laitteet ja niin sanotut hot-paikkaukset, joissa palvelu päivittyy ilman katkoa.
Kolmas ohje koskee perusasioita: pääsynhallinta, lokitus ja jatkuva uhkahaku, ei yksittäiset paikkaukset irrallaan kontekstista. Erityisen kova rivi on suositus paikkaamattomien järjestelmien hylkäämisestä. Jos laitetta tai sovellusta ei voi enää päivittää, NCSC kehottaa vaihtamaan sen kokonaan. Suositus koskee erityisesti perimeterin VPN-konsentraattoreita, palomuureja ja palvelimia, joiden valmistajatuki on loppunut.
Mihin kannattaa kiinnittää huomiota nyt
Tarkista, mitkä järjestelmänne ovat näkyvissä julkiseen verkkoon ja mille niistä ei enää ole valmistajatukea. NCSC kehottaa vaihtamaan paikkaamattomat laitteet pois sen sijaan, että niitä yritetään suojata kiertoteillä. Vanhentunut palomuuri on suurempi riski kuin suojaamaton päätelaite.
Suomen tilanne: hyökkäystahti on jo tunneissa
Traficomin Kyberturvallisuuskeskus on nähnyt saman ilmiön käytännössä. Keskuksen viikkokatsauksissa toistuva havainto on, että haavoittuvuuden julkaisemisesta sen aktiiviseen hyväksikäyttöön kulunut aika on lyhentynyt päivistä tunneiksi. Kun Britannian viranomainen puhuu paikkausaallosta tulevana ilmiönä, suomalaisen verkonvalvojan arjessa se on jo läsnä.
Konkreettisia muistutuksia kotimaisesta uhkakuvasta on tuore. Tammikuussa 2026 valtion yhteinen palvelukeskus Valtori ilmoitti tietomurrosta mobiililaitteiden hallintajärjestelmäänsä, jolla hallinnoidaan myös valtioneuvoston päätelaitteita. Huhtikuussa havaittiin valtionhallintoon kohdistuneita hyökkäyksiä, joita on epäilty vakoiluksi. Valtionhallinnon legacy-järjestelmissä on edelleen kerroksia, joiden alkuperäiset vastuuhenkilöt ovat eläkkeellä, eikä niiden korvaaminen ole halpaa.
Kyberturvallisuuskeskus ja Huoltovarmuuskeskus julkaisivat keväällä uuden ohjeistuksen tekoälyagenttien turvallisuudesta. Saman viraston aiempi raportti, joka tehtiin yhteistyössä WithSecuren kanssa, ennakoi että tekoäly ei aluksi luo täysin uusia hyökkäystyyppejä vaan teollistaa olemassa olevia. Juuri sen mekaniikan NCSC nyt kuvaa.
Sanasto
CHERI
Brittiläinen prosessoritekniikka joka rajaa tarkasti, mihin muistialueisiin ohjelma saa koskea. Tarkoituksena on estää, että yksittäinen koodivirhe vuotaisi tietoja tai antaisi hyökkääjälle pääsyn järjestelmään.
Muistiturvallinen kieli
Ohjelmointikieli, kuten Rust, joka estää valtaosan muistivirheistä jo kääntövaiheessa. Tällaiset virheet ovat aiheuttaneet historiallisesti yli 70 prosenttia vakavista tietoturva-aukoista.
Miksi tämä koskettaa muutakin kuin tietoturvatiimiä
Paikkausaalto näkyy tavalliselle suomalaiselle yllättävän nopeasti. Pankin verkkopalvelu voi mennä huoltokatkolle keskellä päivää. Yritysten lounaspakettiautomaatti tai etätyösovellus voi vaatia päivityksen ennen käyttöä. Kuntien sähköiset palvelut, jotka pyörivät vanhoilla alustoilla, joutuvat valinnan eteen: maksetaan migraatio nyt, tai eletään kasvavalla riskillä. Yritysjohtajalle viesti on selvä: paikkausbudjetti pitää kasvattaa ennen kuin paikkausvelka kasvattaa itsensä.
NCSC:n blogissa on kohta, joka jää helposti huomaamatta. Virasto kehottaa myös ohjelmistovalmistajia siirtymään muistiturvallisiin kieliin ja eristysteknologioihin kuten CHERI:in. Paikkausaalto ei siis ole pelkkä taakka käyttäjäorganisaatioille, vaan myös merkki siitä, että nykyinen ohjelmistotuotannon malli ei skaalaudu. Toinen kysymys on, ehtivätkö valmistajat reagoida nopeammin kuin paikkauksia tarvitaan – siihen vastaa seuraava vuosi, ei tämä blogimerkintä.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
