PHP2Shell: Kritische PHP-Sicherheitslücke – Google warnt vor SEO-Fehlern bei Website-Ausfällen

21.10.2026 um 19:14 Uhr, von Anne

Eine kritische Sicherheitslücke in PHP sorgt am 21. Oktober 2026 für dringenden Handlungsbedarf bei Websitebetreibern. Unter dem Namen PHP2Shell werden zwei Schwachstellen diskutiert, die unter bestimmten Voraussetzungen die Ausführung von Schadcode auf betroffenen Servern ermöglichen. Einige Organisationen nehmen ihre Websites vorsorglich offline, bis die Sicherheitsupdates installiert sind. Google hat deshalb eine wichtige Empfehlung veröffentlicht: Wer seine Website vorübergehend abschaltet, sollte den richtigen HTTP-Statuscode verwenden, um unnötige Probleme mit der Google-Indexierung zu vermeiden.
Die Warnung betrifft insbesondere Unternehmen, Onlineshops und Betreiber PHP-basierter Websites. Auch WordPress verwendet PHP und ist deshalb auf eine sichere PHP-Laufzeitumgebung angewiesen.

Was steckt hinter der Sicherheitslücke PHP2Shell?

Das PHP-Projekt hat am 21. Oktober 2026 vor zwei kritischen Sicherheitslücken gewarnt. Die Schwachstellen tragen die Kennungen CVE-2026-109618 und CVE-2026-109619 und können unter bestimmten Bedingungen eine sogenannte Remote Code Execution ermöglichen. Dabei können Angreifer Schadcode auf einem betroffenen Server ausführen, ohne sich zuvor anmelden zu müssen. Laut der offiziellen Sicherheitsmitteilung sind PHP-Installationen gefährdet, die Webanfragen verarbeiten. Dazu gehören unter anderem PHP-FPM, Apache mit mod_php und weitere PHP-Laufzeitumgebungen. Das PHP-Projekt stuft das Risiko bei mod_php besonders hoch ein. Zur Behebung wurden folgende Versionen veröffentlicht: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36 und PHP 8.2.35. Websitebetreiber sollten deshalb zeitnah prüfen, welche PHP-Version ihr Hosting verwendet und ob die entsprechenden Sicherheitsupdates bereits eingespielt wurden. Bei Managed-Hosting-Angeboten übernimmt häufig der Hosting-Anbieter die Aktualisierung. Trotzdem sollten Unternehmen kontrollieren, ob ihre Website tatsächlich geschützt ist.

Google empfiehlt HTTP 503 bei vorübergehender Abschaltung

Wie Search Engine Roundtable berichtet, hat sich Googles Search-Experte John Mueller zur aktuellen Situation geäußert. Seine Empfehlung: Müssen Websites für die Sicherheitsarbeiten vorübergehend offline genommen werden, sollten sie den HTTP-Statuscode 503 Service Unavailable zurückgeben. Dieser Statuscode signalisiert Suchmaschinen, dass ein Server vorübergehend nicht verfügbar ist. Das ist ein wichtiger Unterschied zu anderen Serverantworten. Ein HTTP-Statuscode 404 bedeutet normalerweise, dass eine angeforderte Seite nicht gefunden wurde. Ein HTTP-Statuscode 500 weist dagegen auf einen internen Serverfehler hin. Auch eine Website, die überhaupt nicht antwortet und lediglich einen Timeout verursacht, liefert Suchmaschinen kein so eindeutiges Wartungssignal wie HTTP 503. Google empfiehlt deshalb, bei geplanten oder notwendigen kurzen Unterbrechungen einen passenden 503-Status zurückzugeben. Mueller weist außerdem darauf hin, dass sich eine solche Wartungsantwort auch außerhalb von PHP einrichten lässt, beispielsweise über den Webserver, ein Content Delivery Network oder eine alternative technische Bereitstellung. Wichtig: HTTP 503 ist für vorübergehende Unterbrechungen gedacht, nicht für eine dauerhafte Abschaltung. Bleibt eine Website über längere Zeit unerreichbar, können trotzdem Probleme beim Crawling und bei der Indexierung entstehen.

Welche Folgen hat PHP2Shell für SEO und KI-Suchsysteme?

Für die Suchmaschinenoptimierung ist die technische Erreichbarkeit einer Website eine grundlegende Voraussetzung. Wenn Googlebot eine Website nicht abrufen kann, lassen sich neue oder aktualisierte Inhalte möglicherweise nicht verarbeiten. Bei längeren Ausfällen können sich auch Auswirkungen auf die Indexierung ergeben. Eine kurzfristige Wartung mit korrekt eingesetztem HTTP 503 führt dagegen nicht automatisch zu einem Rankingverlust. Der Statuscode hilft Google, die Unterbrechung als vorübergehend einzuordnen. Auch für KI-gestützte Suchsysteme kann die Erreichbarkeit wichtig sein. Systeme, die aktuelle Informationen direkt von Websites abrufen, können während einer Abschaltung möglicherweise keine neuen Inhalte auslesen. Das bedeutet allerdings nicht, dass eine Website durch einen kurzen Ausfall automatisch aus ChatGPT, Gemini oder anderen KI-Antworten verschwindet. Die Systeme verwenden unterschiedliche Datenquellen und Abrufverfahren.

Für SEO und Generative Engine Optimization (GEO) gilt deshalb gleichermaßen: Eine technisch zuverlässige Website erleichtert die Verarbeitung aktueller Inhalte. Gerade bei Onlineshops sind korrekte Produktinformationen, Preise und Verfügbarkeiten wichtig. Können diese Informationen nicht abgerufen werden, kann das die Aktualität nachgelagerter Such- und Empfehlungssysteme beeinträchtigen.

Was müssen WordPress-Betreiber und Onlinehändler jetzt tun?

WordPress basiert auf PHP. Deshalb ist die aktuelle Sicherheitswarnung auch für zahlreiche Unternehmenswebsites, Blogs und Onlineshops relevant. Entscheidend ist jedoch nicht allein die verwendete WordPress-Version, sondern die PHP-Version und deren Sicherheitsstand auf dem Server. Websitebetreiber sollten jetzt die eingesetzte PHP-Version kontrollieren und mit ihrem Hosting-Anbieter klären, ob die Sicherheitsupdates bereits installiert wurden. Vor größeren Änderungen sind funktionierende Backups sinnvoll. Nach dem Update sollten wichtige Funktionen wie Kontaktformulare, Benutzeranmeldung und Checkout überprüft werden. Falls die Website während der Arbeiten vorübergehend offline gehen muss, sollte eine Wartungsseite mit dem HTTP-Statuscode 503 eingerichtet werden. Für Onlinehändler kommt ein weiterer Aspekt hinzu: Eine nicht erreichbare Website kann unmittelbar zu Umsatzverlusten führen. Deshalb sollten bei einer notwendigen Abschaltung auch laufende Google-Ads-Kampagnen, Shopping-Anzeigen und andere bezahlte Marketingmaßnahmen berücksichtigt werden.

Wer weiterhin Besucher auf einen nicht funktionierenden Checkout leitet, riskiert unnötige Werbekosten und verärgerte Kunden. Die Priorität bleibt dennoch eindeutig: Die Sicherheitslücke muss geschlossen werden. SEO-Maßnahmen dürfen eine notwendige Absicherung nicht verzögern.

Mein Fazit: PHP-Sicherheit und SEO müssen zusammen gedacht werden

PHP2Shell zeigt, wie eng Website-Sicherheit, Suchmaschinenoptimierung und digitales Marketing miteinander verbunden sind. Die beiden kritischen PHP-Sicherheitslücken erfordern schnelle Updates. Gleichzeitig müssen Websitebetreiber darauf achten, dass notwendige Wartungsarbeiten technisch korrekt umgesetzt werden. Googles Empfehlung zum HTTP-Statuscode 503 ist dabei besonders wichtig: Suchmaschinen sollen erkennen können, dass eine Website nur vorübergehend nicht erreichbar ist. Für Unternehmen bedeutet das, Sicherheitsmaßnahmen nicht isoliert zu betrachten. Auch Crawling, Indexierung, KI-Sichtbarkeit und laufende Werbekampagnen sollten bei einem Website-Ausfall berücksichtigt werden.

Wer jetzt die PHP-Sicherheitsupdates installiert und notwendige Ausfallzeiten korrekt signalisiert, schützt sowohl seine technische Infrastruktur als auch die Voraussetzungen für seine digitale Sichtbarkeit.

Quellen:

• Google Search Central: Umgang mit geplanten Website-Ausfällen
• PHP.net: Offizielle Sicherheitsmitteilung vom 21. Oktober 2026
• Search Engine Roundtable: Google Advice On Taking Sites Down When Fixing PHP2Shell