Zum Hauptinhalt springen
    Wissen · SEO

    SEO-News KW 44: PHP2Shell und Googles Rat zum 503-Status

    9 Min.
    Schnellantwort:

    Die kritische PHP-Sicherheitslücke PHP2Shell hat am 21.10.2026 viele Websites offline gehen lassen. Google rät für solche Notabschaltungen zum HTTP-Statuscode 503 statt Timeouts, 404 oder 500. Länger als ein bis zwei Tage sollte ein 503 nicht anliegen. Dazu meldet Search Engine Roundtable unbestätigte Ranking-Schwankungen am 20., 21. und 24.10., Google ergänzt seine Doku zur Inhaltssteuerung und testet neue Funktionen im Unternehmensprofil.

    Auf einen Blick

    MeldungWas ändert sichFür wen relevantHandlungsbedarfQuelle + Datum
    PHP2Shell und 503-StatusKritische PHP-Lücke, Google empfiehlt 503 bei AbschaltungAlle Websites auf PHP (WordPress, Typo3, Joomla, Drupal)Hoch, sofortSearch Engine Roundtable, Search Engine Journal, ZDFheute/dpa, 21.10.2026
    Ranking-SchwankungenUnbestätigte Bewegungen am 20./21.10. und 24.10.Alle mit organischem TrafficMittel, beobachtenSearch Engine Roundtable, 21.10. und 25.10.2026
    Doku "Control what you share"Bestehende Steuerungsoptionen inkl. Search generative AI control gebündeltWebsites mit sensiblen Inhalten oder KI-FragenNiedrigGoogle Search Central, 21.10.2026
    Google Business Home und neue BerichteBeta in USA/UK, Test neuer LeistungsberichteLokale UnternehmenNiedrig, vormerkenSearch Engine Roundtable, 22. und 23.10.2026
    AI Overviews bei kommerziellen Keywords88 Prozent der untersuchten US-Keywords mit AI OverviewShops, Vergleichs- und Review-SeitenMittelSemrush, 21.10.2026; Search Engine Land, 22.10.2026

    PHP2Shell: Warum Google bei Abschaltungen den 503-Status empfiehlt

    PHP2Shell ist der Name für zwei kritische Sicherheitslücken in der Skriptsprache PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Laut The Record vom 21.10.2026 bewertet das PHP-Projekt beide mit 9,2 von 10 Punkten. Angreifer können damit ohne Anmeldung eigenen Code auf dem Server ausführen.

    Laut Search Engine Roundtable vom 21.10.2026 sind PHP-Versionen von 5.4 bis 8.5.11 betroffen. Fehlerbereinigte Versionen sind 8.5.12, 8.4.27, 8.3.36 und 8.2.35. PHP 8.1 und ältere Versionen erhalten keine regulären Sicherheitsupdates mehr. Laut The Record schätzt der Sicherheitsanbieter Detectify, dass rund die Hälfte aller PHP-Websites auf solchen älteren Versionen läuft.

    Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stuft die Lage laut ZDFheute und dpa vom 21.10.2026 mit Warnstufe 3 (Orange) ein. Das BSI rät Betreibern, Server im Zweifel komplett vom Netz zu nehmen. Die Stadt Mainz hat ihre öffentlichen Websites vorsorglich abgeschaltet. Laut The Record beobachtet Cloudflare bereits Angriffe.

    Google-Mitarbeiter John Mueller hat am selben Tag reagiert. Wer eine Website für ungeplante PHP-Updates abschaltet, soll laut Mueller "use HTTP 503 instead of letting responses time out". Auch 404- oder 500-Antworten hält er für die schlechtere Wahl. Den 503-Status kann der Server außerhalb von PHP ausliefern, etwa über eine DNS-Umleitung oder ein Content Delivery Network (CDN), also ein vorgeschaltetes Netz aus Auslieferungsservern.

    Search Engine Journal ordnet am 21.10.2026 die passende Google-Dokumentation ein. Ein 503 sollte nicht länger als ein bis zwei Tage anliegen. Sieht der Googlebot über mehrere Tage 503-Antworten für dieselbe URL, kann Google die URL aus dem Index entfernen. Ein Retry-After-Header teilt Crawlern mit, wann sie wiederkommen sollen. Für längere Schließungen empfiehlt Google eine indexierbare Platzhalter-Startseite mit Status 200.

    Was bedeutet das für dein Unternehmen?

    Die meisten Websites von Handwerksbetrieben, Gastronomen und Dienstleistern laufen auf WordPress und damit auf PHP. Laut Malwarebytes vom 21.10.2026 ersetzt ein WordPress- oder Plugin-Update kein PHP-Update, das muss dein Hoster oder Administrator einspielen. Musst du die Seite kurz abschalten, dann mit 503 und nur für Stunden, nicht für Wochen. Stroe Media empfiehlt, die PHP-Version im Hosting-Panel heute zu prüfen und nicht auf eine Mail des Hosters zu warten.

    Unbestätigte Ranking-Schwankungen am 20., 21. und 24. Oktober

    Search Engine Roundtable berichtete am 21.10.2026 über auffällige Bewegungen in den Google-Rankings am 20. und 21. Oktober. Am 25.10.2026 folgte ein Bericht über deutliche Schwankungen am Samstag, 24. Oktober. Diese Meldung ist bislang nur von Search Engine Roundtable berichtet, keine offizielle Bestätigung durch Google.

    Die Messwerkzeuge zeigen laut Search Engine Roundtable kein einheitliches Bild. Ahrefs, Semrush und Sistrix datierten Einbrüche laut einer Auswertung von SEO-Berater Glenn Gabe teils unterschiedlich. Gabe beobachtete außerdem zwei Websites aus einem besonders sensiblen Themenfeld rund um Geld oder Gesundheit, die aus den Suchergebnissen verschwanden und rund eine Woche später zurückkamen.

    Was bedeutet das für dein Unternehmen?

    Ein bestätigtes Core Update gibt es nicht. Prüfe trotzdem in der Google Search Console die Leistung vom 19. bis 25. Oktober im Vergleich zur Vorwoche. Bei Einbrüchen lohnt es sich, zuerst technische Ursachen auszuschließen, zum Beispiel eine Abschaltung wegen PHP2Shell.

    Google-Doku "Control what you share" bündelt Steuerungsoptionen

    Google hat am 21.10.2026 seine Hilfeseite "Control what you share with Google Search" überarbeitet. Laut dem offiziellen Änderungsprotokoll von Google Search Central nennt die Seite jetzt bestehende Optionen gesammelt: das robots-Meta-Tag, das Attribut data-nosnippet, den HTTP-Header X-Robots-Tag und die sogenannte Search generative AI control.

    Search Engine Roundtable stellt am 21.10.2026 klar, dass Google damit keine neue Funktion einführt. Google beschreibt die Änderung als Aktualisierung auf den aktuellen Stand der verfügbaren Optionen. Am 23.10.2026 hat Google zusätzlich die Best Practices für URL-Strukturen zu Bindestrichen und Unterstrichen präzisiert.

    Was bedeutet das für dein Unternehmen?

    Die Seite ist jetzt die zentrale Anlaufstelle, wenn du steuern willst, welche Inhalte Google in Snippets oder KI-Funktionen zeigt. Für die meisten KMU-Websites besteht kein Handlungsbedarf. Relevant wird es, wenn du Preise, interne Dokumente oder Inhalte hinter Logins aus der Suche heraushalten willst.

    Google Business Home und neue Berichte im Unternehmensprofil

    Google hat eine neue Oberfläche namens Google Business Home gestartet. Laut Search Engine Roundtable vom 22.10.2026, das auf eine Google-Hilfeseite verweist, bündelt sie Unternehmensprofil, Merchant Center, YouTube und Google Ads an einem Ort. Die Oberfläche basiert auf Googles KI-Modell Gemini und ist eine geschlossene Beta in den USA und Großbritannien.

    Am 23.10.2026 berichtete Search Engine Roundtable zudem über einen Test neuer Leistungsberichte im Google Unternehmensprofil. Die Berichte zeigen Engagement, Rezensionen, Suchtrends, Zielgruppe und Empfehlungen. Laut einem Bericht vom 20.10.2026 dauert die Bearbeitung von Einsprüchen zu entfernten Rezensionen wegen hoher Nachfrage länger. Diese Meldungen sind bislang nur von Search Engine Roundtable berichtet, keine offizielle Bestätigung durch Google.

    Was bedeutet das für dein Unternehmen?

    In Deutschland ist Google Business Home noch nicht verfügbar. Wer Unternehmensprofil, Google Ads und YouTube nutzt, sollte die Entwicklung im Blick behalten, weil sich die Verwaltung künftig an einem Ort bündeln könnte. Rechne bei Rezensions-Einsprüchen aktuell mit längeren Wartezeiten.

    AI Overviews erscheinen bei 88 Prozent kommerzieller Suchanfragen

    Semrush hat am 21.10.2026 eine Studie zu AI Overviews veröffentlicht, also den KI-Zusammenfassungen über den Google-Suchergebnissen. Untersucht wurden 400 kommerzielle Keywords aus Banking, E-Commerce und Software, gemessen in der US-Desktop-Suche von September 2025 bis August 2026.

    Im August 2026 zeigte Google bei 88 Prozent dieser Keywords eine AI Overview, im September 2025 waren es 45,75 Prozent. Nach Suchvolumen gewichtet lag der Anteil bei 97,08 Prozent. Bei Suchanfragen mit Bezug auf Bewertungen stieg der Anteil von 30,14 Prozent auf fast 90 Prozent. Search Engine Land berichtete am 22.10.2026 darüber und weist darauf hin, dass es zu Semrush gehört. Die Studie misst keine Klicks und keine Conversions.

    Was bedeutet das für dein Unternehmen?

    Die Zahlen gelten für die USA und drei Branchen, nicht für den deutschen Markt. Die Richtung ist trotzdem ein Signal für Shops und Anbieter mit Vergleichs- oder Bewertungsseiten. Stroe Media rät, die eigenen Kern-Keywords in Deutschland stichprobenartig auf AI Overviews zu prüfen und die Inhalte so aufzubauen, dass sie als Quelle zitiert werden können.

    Das solltest du diese Woche konkret tun

    1. 1Frage im Hosting-Panel oder beim Hoster die PHP-Version deiner Website ab und lass auf 8.2.35, 8.3.36, 8.4.27 oder 8.5.12 aktualisieren.
    2. 2Läuft deine Website auf PHP 8.1 oder älter, plane den Umstieg auf eine unterstützte Version mit Termin.
    3. 3Lege mit deinem Hoster fest, dass eine Notabschaltung einen 503-Status mit Retry-After-Header ausliefert und keine 404- oder Fehlerseite.
    4. 4Vergleiche in der Google Search Console Klicks und Impressionen vom 19. bis 25.10. mit der Vorwoche.
    5. 5Prüfe fünf wichtige kommerzielle Keywords manuell in der Google-Suche auf AI Overviews und notiere, welche Quellen zitiert werden.

    Häufige Fragen

    PHP2Shell bezeichnet zwei kritische Sicherheitslücken in PHP mit den Kennungen CVE-2026-109618 und CVE-2026-109619. Sie wurden am 21.10.2026 bekannt und erlauben Angreifern, ohne Anmeldung Code auf dem Server auszuführen. Das PHP-Projekt bewertet beide mit 9,2 von 10 Punkten. Das BSI hat Warnstufe 3 (Orange) ausgerufen. Abhilfe schaffen die PHP-Versionen 8.2.35, 8.3.36, 8.4.27 und 8.5.12.

    WordPress läuft auf PHP. Betroffen sind laut Search Engine Roundtable alle PHP-Versionen von 5.4 bis 8.5.11. Ein Update von WordPress oder Plugins schließt die Lücke nicht, entscheidend ist die PHP-Version auf dem Server. Diese siehst du meist im Hosting-Panel. Im Zweifel fragst du direkt bei deinem Hoster nach.

    Google empfiehlt für vorübergehende Abschaltungen den HTTP-Statuscode 503. John Mueller rät, keine Timeouts, 404- oder 500-Antworten auszuliefern. Den 503-Status kannst du auch über DNS oder ein Content Delivery Network ausspielen. Ein Retry-After-Header zeigt Crawlern, wann sie wiederkommen sollen. Länger als ein bis zwei Tage sollte der 503 laut Google-Doku nicht anliegen.

    Google rät in seiner Dokumentation, einen 503-Status nicht länger als ein bis zwei Tage zu zeigen. Sieht der Googlebot über mehrere Tage 503-Antworten für dieselbe URL, kann Google sie aus dem Index entfernen. Für längere Schließungen empfiehlt Google eine indexierbare Startseite mit Status 200 als Platzhalter. Das Crawling erholt sich automatisch, sobald die Fehler verschwinden.

    Bis zum 26.10.2026 hat Google kein Core Update bestätigt. Search Engine Roundtable berichtete über unbestätigte Ranking-Schwankungen am 20. und 21. Oktober sowie am 24. Oktober. Die Messwerkzeuge zeigten dabei kein einheitliches Bild. Wer Einbrüche sieht, sollte zuerst technische Ursachen wie Serverausfälle prüfen und die Daten in der Google Search Console auswerten.

    Fazit

    PHP2Shell ist diese Woche das wichtigste Thema für Website-Betreiber, weil es Sicherheit und Sichtbarkeit gleichzeitig betrifft. Wer seine PHP-Version aktualisiert und im Notfall sauber mit 503 abschaltet, schützt Daten und Rankings. Die Ranking-Schwankungen sind unbestätigt und sollten beobachtet, aber nicht überbewertet werden. Die neuen Funktionen im Unternehmensprofil sind in Deutschland noch nicht angekommen.

    Du willst wissen, ob deine Website technisch sauber aufgestellt ist? Stroe Media prüft deine Website im Rahmen unserer SEO-Betreuung und verbindet sie bei Bedarf mit Google Ads. Schreib uns über das Kontaktformular. Die Meldungen der Vorwoche findest du in den SEO-News KW 43.

    Quellenverzeichnis

    1. Google Advice On Taking Sites Down When Fixing PHP2Shell, Search Engine Roundtable, 21.10.2026
    2. Google Reminds Sites To Serve A 503 During PHP Patch Downtime, Search Engine Journal, 21.10.2026
    3. Sicherheitslücke bei PHP: Millionen Webseiten bedroht, ZDFheute (dpa), 21.10.2026
    4. Hundreds of websites taken offline as concern grows over two PHP vulnerabilities, The Record, 21.10.2026
    5. PHP2Shell: Why many websites had to go offline, Malwarebytes, 21.10.2026
    6. Google Search Ranking Volatility & Chatter Heats Up October 20 & 21, Search Engine Roundtable, 21.10.2026
    7. Google Search Ranking Volatility Heated October 24th, Search Engine Roundtable, 25.10.2026
    8. Latest Google Search Documentation Updates, Google Search Central, 21.10.2026
    9. Google Updates Control What You Share With Google Search With Existing Options, Search Engine Roundtable, 21.10.2026
    10. Google Business Profiles New Business Home, Search Engine Roundtable, 22.10.2026
    11. Google Business Profiles Tests New Advanced Performance Reports, Search Engine Roundtable, 23.10.2026
    12. Google Business Profiles Review Appeals Are Delayed Again, Search Engine Roundtable, 20.10.2026
    13. AI Overviews have nearly doubled across five commercial search modifiers, Semrush, 21.10.2026
    14. Google AI Overviews nearly double for commercial keywords: Study, Search Engine Land, 22.10.2026

    Autor: Stroe Media Redaktion, Stand: 26.10.2026

    Zurück zur Übersicht