2025. aasta paistab silma paljude tõsiste nullpäeva turvanõrkustega, kus ründajad kompromiteerisid süsteeme juba enne turvanõrkuse avaldamist ja suutsid hoida ligipääse ka pärast haavatavuste paikamist. Võimalusel kasutatavad nad ära ka aastaid turvanõrkusi, mis on siiani paikamata. Aina rohkem ja konkreetsemalt räägitakse riikliku taustaga grupeeringutest, kes tegelevad kriitilise taristu süsteemides turvanõrkuste otsimise ja nende ärakasutamisega.
Aasta turvanõrkus: React2Shell
2025. aastal avastatud turvanõrkustest on kõige tõsisem ja laiema mõjuga detsembri alguses avaldatud haavatavus, mis sai hüüdnime React2Shell (CVE-2025-55182).
See on koodi kaugkäitust võimaldav turvanõrkus React Server Components tarkvaras, mis võimaldab ründajal lihtsa vaevaga saada kontroll haavatavas serveris. Turvanõrkuse mõju on erakordselt suur, kuna React on laialt kasutuses veebiserverites, sh veebiteenustes, admin-paneelides ja rakendusliidestes ehk APIdes. Mitu rühmitust võtsid React2Shell turvanõrkusega serverid sihikule vaid mõni tund pärast selle avalikustamist.
Eestis olid tule all võrguseadmed
Eelmisel aastal avastati nullpäeva turvanõrkuseid mitmetes võrguseadmetes ja rünnati ka vanu paikamata haavatavusi. Soovimatut põnevust ja närvipinget said nii FortiGate’i, Cisco kui ka Ivanti seadmete kasutajad.
Aasta algus tõi uudise, et kahe riigiasutuse Ivanti Connect Secure’i tarkvara kasutavad VPN-seadmed on kompromiteeritud. Tõenäoliselt kasutasid ründajad ära nullpäeva turvanõrkuseid (CVE-2025-0282 ja CVE-2025-0283) ning kompromiteerisid seadmed veel enne turvauuenduste avaldamist. Aasta lõppes tõdemusega, et Eestis on pihta saanud Cisco võrguseadmed, mis muutusid haavatavaks järjekordse nullpäeva turvanõrkuse (CVE-2025-20393) tõttu.
Kevadel jagati ühe Eesti raamatukogu süsteemide kaudu pahavara. Intsidendi analüüsi käigus selgus, et ründajad said süsteemi sisse, kuna nii meiliserveri kui ka veebi sisuhaldustarkvara turvanõrkused olid paikamata ja toodete eluiga ammu lõppenud.
Kompromiteeriti mitmed WordPressi kasutavad veebilehed. Näiteks Laagri koolis algas õppeaasta kooli kodulehe kompromiteerimisega: südaööl käivitati WordPressi aegunud tarkvara kaudu skript, mis keelas ligipääsu lehele. Avalehel kuvati sisselogimise aken, mis küsis kasutajanime ja parooli.
Lunavararünnak paikamata turvanõrkuse tõttu
Sügisel leidis ühe Eesti ettevõtte töötaja serveri krüpteerituna, ekraanil lunarahanõue. Analüüsi tulemusena selgus, et kurjategijad olid saanud serverile ligipääsu, kasutades ära turvanõrkust, mis oli parandatud augustis 2024. Paraku jäi ettevõttel seda nõrkust parandav turvauuendus õigel ajal paigaldamata ning kevadel 2025 said ründajad ligipääsu süsteemile ja sügisel paigaldasid lunavara.
Kuidas kaitsta end turvanõrkuste ärakasutamise vastu?
- Hoia kõigi süsteemide operatsioonisüsteem või püsivara, rakendused jm tarkvara ajakohasena.
- Vaheta välja lõppenud tööeaga seadmed ja tarkvara, millele tootja enam turvauuendusi ei paku.
- Kaitse oma võrku ja administreerimisliideseid. Kasuta VPNi ja luba ligipääs seadmetele, eriti süsteemide haldusliidestele, vaid kindlatelt IP-aadressidelt.
- Seadista ja jälgi oma süsteemi logisid ning paigalda monitooringurakendused, et märkaksid anomaaliaid ja saaksid ründe korral kiirelt reageerida.
Loodi Euroopa Liidu turvanõrkuste kataloog
25. mail avaldati Euroopa Liidu turvanõrkuste kataloog European Union Vulnerability Database ehk EUVD, mida haldab Euroopa Liidu küberturvalisuse amet (ENISA). EUVD on eesmärk on koondada ELi vaatest oluline info turvanõrkuste, nende mõju, kuritarvitamiste ja leevendusmeetmete kohta.
2025. aastal sattus küsimärgi alla CVE (Common Vulnerabilities and Exposures) süsteemi turvanõrkuste andmebaaside (cve.org ja USA Riikliku Standardi- ja Tehnikainstituudi NIST hallatava NVD (National Vulnerability Database)) rahastus ning järjepidevus.
Aasta lõpu seisuga CVE süsteemi turvanõrkuste andmebaasid toimivad, kuid vajadusel pakub EUVD neile alternatiivi.
Viimati uuendatud 04.02.2026
