Door het kritieke PHP2Shell-lek halen beheerders wereldwijd websites tijdelijk offline om veilig te kunnen patchen. Google's John Mueller adviseert daarbij één concrete maatregel: gebruik een HTTP 503-statuscode in plaats van je site te laten timen of een 404- of 500-foutmelding te tonen, zodat je geen rankingverlies oploopt.
Wat is het PHP2Shell-lek precies?
PHP2Shell is de naam die inmiddels aan twee kritieke kwetsbaarheden in PHP is gegeven. Ze maken het mogelijk om zonder inloggegevens op afstand code uit te voeren op een server, wat voor een aanvaller vrijwel volledige controle betekent.
De fix staat in PHP 8.5.12, 8.4.27, 8.3.36 en 8.2.35. Omdat PHP een groot deel van het internet draait, wordt er wereldwijd in hoog tempo gepatcht. Reuters meldde dat verschillende overheids-, school- en ziekenhuiswebsites in Europa woensdag uit voorzorg offline werden gehaald terwijl organisaties zich indekten tegen de twee kwetsbaarheden.
Google's advies: gebruik een 503-statuscode
Veel beheerders kiezen voor de meest voorzichtige route en zetten hun site volledig plat tijdens het patchen. Mueller liet via Bluesky weten hoe dat op een SEO-veilige manier kan.
Hij schreef: "Als je PHP-sites offline haalt om tijd vrij te maken voor 'ongeplande updates', gebruik dan een HTTP 503 in plaats van reacties te laten timen, of 404- en 500-foutmeldingen te tonen. Dat kun je buiten PHP om regelen, via DNS of via je CDN."
De kern van dat advies is dat de maatregel losstaat van het systeem dat je juist aan het repareren bent. Je zet de 503 in op serverniveau, in een CDN-regel of door DNS tijdelijk naar een andere locatie te wijzen, niet in PHP-code die je op dat moment buiten werking stelt.
Waarom dit belangrijk is voor je zoekresultaten
Google behandelt een 503-statuscode als een duidelijk signaal: de site is tijdelijk niet beschikbaar, maar blijft relevant. Een time-out, 404 of 500 kan daarentegen worden opgevat als een structureel probleem, met het risico dat pagina's uit de index verdwijnen.
Google gaf eerder vergelijkbaar advies tijdens de Log4j-kwetsbaarheid in 2021 en bij tijdelijke sluitingen rond religieuze feestdagen. De richtlijn is steeds dezelfde gebleven.
- Gebruik een HTTP 503-statuscode zodra je de site buiten gebruik stelt.
- Regel dit buiten PHP om, via de webserver, een CDN-regel of een tijdelijke DNS-wijziging.
- Houd de onderbreking kort: enkele uren tot een paar dagen is doorgaans geen probleem voor je ranking.
- Staat de site langer dan een dag offline, publiceer dan een statische noodversie in plaats van alleen een 503-pagina.
Wat betekent dit voor jouw website
Ben je nog niet gepatcht, dan is dat de eerste prioriteit. Werk je PHP-versie bij naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35, afhankelijk van de major-versie die je draait.
Kies je er toch voor om de site tijdens het patchen offline te zetten, zorg dan dat bezoekers en Googlebot een 503 te zien krijgen in plaats van een foutmelding. Die ene instelling bepaalt of je na het patchen meteen weer zichtbaar bent in Google, of eerst weken moet wachten tot je posities herstellen.
Bron: Search Engine Roundtable