Entwarnung bei vielen Webhostern nach PHP2Shell Sicherheitslücken

Nach einem sehr langen Arbeitstag gestern gibt es von immer mehr Webhostern Entwarnung, dass die Sicherheitsupdates der aktuellen PHP-Versionen durchgeführt sind.

Ich beschloss gestern Abend kurzerhand, von mir betreute Websites in den Wartungsmodus zu schicken, bis die PHP-Sicherheitslücken geschlossen waren. Die meisten Sites konnte ich bald darauf oder innerhalb weniger Stunden wieder aktivieren, bei den anderen kontrollierte ich den Status regelmäßig. Nur wenige Sites mussten bis heute Mittag warten.

Weil man ja nie wissen kann, welche Szenarien uns in der Zukunft erwarten, hab‘ ich für jedes Projekt ein kleines Wartungspackage angelegt, bestehend aus einer .htaccess und einer HTML-Datei, zum schnellen hochjagen, wenn es mal wieder brennt, oder aus anderen Gründen die Maßnahme geboten ist, PHP-Skripte erstmal nicht ausführen zu lassen. Wichtig ist, auch eine Sicherheitskopie der original-.htaccess zu haben, damit die Website später wieder funktioniert.

Wartungsseite (maintenance.html)

<!DOCTYPE html>
<html lang="de">
<head>
    <meta charset="utf-8">
    <meta name="viewport" content="width=device-width, initial-scale=1">
    <meta name="robots" content="noindex, nofollow">
    <title>Meine Website – Wartungsarbeiten</title>
    <style>
        :root {
            --brand: #b00401;
            --text: #333333;
            --muted: #686868;
            --bg: #f7f5f4;
        }
        * { box-sizing: border-box; }
        body {
            margin: 0;
            min-height: 100vh;
            display: flex;
            align-items: center;
            justify-content: center;
            padding: 2rem;
            font-family: Georgia, "Times New Roman", serif;
            color: var(--text);
            background:
                radial-gradient(ellipse at 20% 0%, rgba(176, 4, 1, 0.08), transparent 50%),
                radial-gradient(ellipse at 80% 100%, rgba(176, 4, 1, 0.06), transparent 45%),
                var(--bg);
        }
        main {
            max-width: 28rem;
            text-align: center;
        }
        .brand {
            font-size: clamp(1.75rem, 5vw, 2.25rem);
            font-weight: 700;
            letter-spacing: -0.02em;
            color: var(--brand);
            margin: 0 0 1.25rem;
        }
        h1 {
            font-size: clamp(1.15rem, 3vw, 1.35rem);
            font-weight: 400;
            margin: 0 0 0.75rem;
            line-height: 1.35;
        }
        p {
            margin: 0;
            font-family: system-ui, -apple-system, sans-serif;
            font-size: 0.95rem;
            line-height: 1.55;
            color: var(--muted);
        }
    </style>
</head>
<body>
    <main>
        <p class="brand">Meine Website</p>
        <h1>Wir sind momentan offline</h1>
        <p>Auf der Website finden gerade Wartungsarbeiten statt. Bitte versuchen Sie es später erneut.</p>
    </main>
</body>
</html>

.htaccess dazu

# Maintenance mode: 503 Service Unavailable
<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteCond %{REQUEST_URI} !^/maintenance\.html$ [NC]
    RewriteRule ^ - [R=503,L]
</IfModule>

ErrorDocument 503 /maintenance.html

<IfModule mod_headers.c>
    Header always set Retry-After "3600"
</IfModule>

Es kann immer mal wieder zu Notfallsituationen kommen, in denen man schnell handeln muss. Mit diesem kleinen Package, das du dann über FTP ins Hauptverzeichnis deiner Website hochspielst, bist du vorbereitet und kannst erstmal Luft holen und ruhiger über weitere Maßnahmen nachdenken. Aber bitte nicht vergessen, vorher die .htaccess vom Server zu sichern (umbenennen oder in einem anderen Verzeichnis im Package speichern).