PHP2Shell: Si tienes que desconectar tu web, hazlo bien
La noticia más importante de las últimas 48 horas para quienes gestionan webs tiene que ver con la seguridad. El 21 de octubre, el proyecto PHP publicó las versiones PHP 8.5.12, 8.4.27, 8.3.36 y 8.2.35 para corregir dos vulnerabilidades críticas, bautizadas como PHP2Shell. PHP es el lenguaje de programación sobre el que funciona WordPress, así que, si tu web usa WordPress, esto te afecta. Algunas webs, incluidas páginas de organismos públicos de la Unión Europea (UE), se han desconectado para instalar el parche o preparar la actualización.
Si vas a desconectar tu web para aplicar el parche, Google lo tiene claro. John Mueller recomienda devolver un código HTTP 503 en lugar de dejar que las solicitudes agoten el tiempo de espera o respondan con un 404 o un 500. El 503 es un código de respuesta del servidor que significa «cerrado temporalmente, vuelve más tarde». También señala que puedes hacerlo sin pasar por PHP, apuntando el DNS a otro destino o usando una CDN. Es importante: si PHP falla, no puede enviar ese mensaje por sí mismo. La guía de Google indica que el 503 está pensado para cierres urgentes de 1 o 2 días, unos pocos días como máximo, y que robots.txt nunca debe devolver un 503. Search Engine Journal ha recordado lo mismo.
Las posiciones no dejan de moverse
Los resultados de búsqueda llevan un mes entero de vaivenes. Nuestro indicador de volatilidad se mantiene en niveles moderados-altos desde finales de septiembre y vuelve a subir. La primera lectura de hoy es de 7,7, pero solo han llegado datos de 5 de los 12 proveedores y hay grandes diferencias: Serpstat y Wincher marcan un 10/10, mientras que SimilarWeb registra un 3,2. Barry Schwartz, de Search Engine Roundtable, señaló que las conversaciones sobre estos cambios se intensificaron los días 20 y 21 de octubre. En su opinión, hay una actualización de Google en marcha que aún no se ha confirmado. Algunos propietarios de webs han mejorado sus posiciones, pero reciben entre un 60 % y un 70 % menos de clics de lo habitual. Ese patrón suele indicar que AI Overviews responde a la consulta antes de que nadie haga clic.
Toma con cautela los datos de las herramientas. Según Nozzle, parte de los resultados que Google envía a las herramientas de seguimiento de posiciones están completos, pero son incorrectos. La proporción llegó al 25 % y, desde el 1 de octubre, se sitúa entre el 5 % y el 11 % diario.
Qué hacer
- Pregunta hoy a tu proveedor de alojamiento si tu servidor utiliza una versión de PHP con el parche aplicado.
- Devuelve un 503, no una página de error, si desconectas tu web.
- Fíate de los clics de Search Console más que de las herramientas de seguimiento de posiciones de terceros esta semana.
