PHP2Shell: Uw site offline? Doe het goed
Het grootste nieuws voor webmasters van de afgelopen 48 uur draait om een beveiligingsprobleem. Op 21 oktober bracht het PHP-project PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35 uit om twee kritieke kwetsbaarheden te verhelpen, samen PHP2Shell genoemd. PHP is de programmeertaal waarop WordPress draait. Gebruikt uw site WordPress, dan raakt dit dus ook u. Verschillende sites zijn offline gegaan om de patch te installeren of de installatie voor te bereiden, waaronder overheidssites in de Europese Unie (EU).
Moet uw site offline voor de patch? Google geeft duidelijk advies. Gebruik HTTP 503, zegt John Mueller, en laat verzoeken niet eindigen in een time-out, 404 of 500. Een 503 is een servercode die betekent: "tijdelijk gesloten, kom later terug." Volgens Mueller kan dit ook buiten PHP om, door DNS naar een andere bestemming te laten verwijzen of via een CDN. Dat is belangrijk, want als PHP niet werkt, kan het die melding zelf niet versturen. Volgens de richtlijnen van Google is een 503 bedoeld voor noodsituaties waarin een site één tot twee dagen offline moet, hooguit een paar dagen. Ook mag robots.txt nooit een 503 teruggeven. Search Engine Journal herhaalde die waarschuwing.
Rankings blijven schommelen
De zoekresultaten zijn al een volle maand onrustig. Onze tracker laat sinds eind september matige tot sterke schommelingen zien en loopt opnieuw op. De eerste meting van vandaag staat op 7,7, maar pas 5 van de 12 aanbieders hebben gegevens aangeleverd. Bovendien lopen de scores sterk uiteen: Serpstat en Wincher komen op 10/10, SimilarWeb op 3,2. Barry Schwartz van Search Engine Roundtable meldde op 20 en 21 oktober een toename van de discussies hierover. Hij vermoedt dat er een Google-update gaande is, al is die niet bevestigd. Sommige site-eigenaren zagen hun rankings stijgen, maar kregen 60 tot 70% minder klikken dan normaal. Dat patroon wijst er meestal op dat AI Overviews de vraag al beantwoorden voordat iemand doorklikt.
Wees voorzichtig met gegevens uit rankingtools. Volgens Nozzle is een deel van de Google-resultaten die ranktrackers ontvangen wel volledig, maar onjuist. Op het hoogtepunt ging het om 25%; sinds 1 oktober ligt dat aandeel dagelijks tussen de 5 en 11%.
Wat u kunt doen
- Vraag vandaag nog aan uw hostingprovider of uw server op een gepatchte PHP-versie draait.
- Gebruik een 503, geen foutpagina, als u uw site offline haalt.
- Ga deze week uit van de klikken in Search Console, niet van ranktrackers van derden.
