PHP2Shell: So nehmen Sie Ihre Website richtig vom Netz
Das wichtigste Thema für Website-Betreiber in den letzten 48 Stunden ist ein Sicherheitsproblem. Am 21. Oktober hat das PHP-Projekt die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35 veröffentlicht. Sie schließen zwei kritische Sicherheitslücken, die unter dem Namen PHP2Shell bekannt sind. WordPress basiert auf der Programmiersprache PHP. Wer WordPress nutzt, ist also betroffen. Einige Websites wurden bereits vom Netz genommen, um die Updates einzuspielen oder vorzubereiten. Darunter sind auch Behördenwebsites in der Europäischen Union (EU).
Wenn Sie Ihre Website für das Update offline nehmen, hat Google eine klare Empfehlung: John Mueller rät zum HTTP-Statuscode 503 statt zu Timeouts oder den Statuscodes 404 und 500. Ein 503 bedeutet sinngemäß: „Vorübergehend geschlossen, bitte später wiederkommen.“ Mueller weist auch darauf hin, dass sich diese Antwort unabhängig von PHP ausliefern lässt, etwa indem man per DNS auf einen anderen Server verweist oder ein CDN nutzt. Das ist wichtig, denn wenn PHP nicht mehr funktioniert, kann es die Meldung nicht selbst senden. Laut Googles Leitfaden ist ein 503 für dringende Abschaltungen von 1–2 Tagen gedacht, höchstens für wenige Tage. Die robots.txt darf dagegen niemals einen 503 zurückgeben. Auch Search Engine Journal hat noch einmal darauf hingewiesen.
Die Rankings bleiben in Bewegung
Seit einem Monat schwanken die Suchergebnisse stark. Unser Tracker liegt seit Ende September im mittleren bis hohen Bereich, jetzt steigt der Wert wieder. Der erste Wert heute liegt bei 7,7. Allerdings liegen erst Daten von 5 der 12 Anbieter vor, und die gehen weit auseinander: Serpstat und Wincher melden 10/10, SimilarWeb dagegen 3,2. Barry Schwartz von Search Engine Roundtable berichtete am 20. und 21. Oktober von zunehmenden Diskussionen in der Branche. Er vermutet ein laufendes, bislang unbestätigtes Google-Update. Einige Website-Betreiber meldeten bessere Rankings, aber 60 bis 70 % weniger Klicks als üblich. Dieses Muster deutet meist darauf hin, dass AI Overviews die Frage schon beantworten, bevor jemand klickt.
Die Daten der Tools sind allerdings mit Vorsicht zu genießen. Laut Nozzle liefert Google an Ranking-Tracker zum Teil vollständige, aber falsche Ergebnisse. Der Anteil lag in der Spitze bei 25 % und bewegt sich seit dem 1. Oktober täglich zwischen 5 und 11 %.
Was Sie jetzt tun sollten
- Fragen Sie noch heute bei Ihrem Hoster nach, ob auf Ihrem Server eine PHP-Version mit den nötigen Sicherheitskorrekturen läuft.
- Liefern Sie einen 503 statt einer Fehlerseite aus, wenn Sie Ihre Website vom Netz nehmen.
- Verlassen Sie sich diese Woche auf die Klickzahlen aus der Search Console, nicht auf die Daten externer Ranking-Tracker.
