Veraltete Website: Was wir bei der PHP-Umstellung fanden
Veraltete Website als Risiko: Bei der PHP-Umstellung fanden wir defekte Themes und versteckten Casino-Spam. So erkennen Sie eine vergessene Website.
Eine veraltete Website ist ein unterschätztes Risiko: Sie läuft scheinbar problemlos, während Software, Theme und Erweiterungen seit Jahren keine Updates mehr bekommen. Das hat sich bei uns diese Woche deutlich gezeigt. Nach der Sicherheitslücke PHP2Shell haben wir alle Kundenwebsites, die noch mit PHP 7.4, 8.0 oder 8.1 liefen, auf PHP 8.3 umgestellt. Dabei sind wir auf Probleme gestoßen, die vorher niemand bemerkt hatte.
Was haben wir bei der PHP-Umstellung gefunden?
Vier von 16 Websites liefen nach der Umstellung nicht mehr, und auf einer davon fanden wir versteckten Spam. Zwölf Websites liefen unverändert weiter, weil ihre Software regelmäßig gepflegt worden war. Die übrigen zeigten nach der Umstellung nur noch eine Fehlerseite.
- Themes von 2014, deren Updates eine abgelaufene Lizenz erfordert hätten
- Plugins, die PHP-Funktionen nutzen, die es seit PHP 8 nicht mehr gibt
- eine alte Shop-Software, die nur noch als Sicherung im Betrieb war
- auf einer Website ein sichtbarer Werbeabsatz für Vape-Shops und zwei unsichtbare Textblöcke mit Links auf Online-Casinos
Alle betroffenen Websites laufen wieder. Wo ein Update nicht sofort möglich war, haben wir die alten Stellen im Code gezielt angepasst, als Übergang bis zur Modernisierung.
Warum laufen alte Websites unter neuen PHP-Versionen nicht mehr?
Mit PHP 8 sind Funktionen weggefallen, auf die ältere Themes und Plugins noch zurückgreifen. Dazu gehören zum Beispiel create_function() und each(), die schon seit Jahren als veraltet galten. Solange ein Server die alte PHP-Version anbietet, fällt das nicht auf. Erst wenn die Version abgeschaltet werden muss, etwa wegen einer Sicherheitslücke, bricht die Website ab. Die Kosten einer verschobenen Pflege kommen dann auf einmal und unter Zeitdruck.
Wie kommt Spam auf eine Website, ohne dass es jemand merkt?
Angreifer nutzen gestohlene Zugangsdaten oder Lücken in alter Software und verstecken ihre Links so, dass Besucher sie nicht sehen. In unserem Fall stand der Text weit außerhalb des sichtbaren Bildschirmbereichs. Besucher bemerkten davon nichts, Suchmaschinen lesen solchen Text aber mit. Google wertet versteckte Texte und Links als Verstoß gegen die eigenen Spam-Richtlinien, was das Ranking einer Website deutlich verschlechtern kann. Die zugehörige Spam-Seite war schon 2024 angelegt worden, das fremde Benutzerkonto längst wieder gelöscht. Der Spam blieb über zwei Jahre auf der Startseite stehen.
Woran erkennen Sie eine vergessene Website?
Eine vergessene Website erkennen Sie daran, dass sich seit Jahren niemand um die Technik dahinter gekümmert hat. Prüfen Sie diese Punkte:
- Das Theme oder Plugins zeigen Updates an, die nie eingespielt wurden.
- Die Lizenz für ein gekauftes Theme oder Plugin ist abgelaufen.
- Die Website läuft auf einer PHP-Version, die keine Sicherheitsupdates mehr bekommt. Welche Versionen noch gepflegt werden, zeigt die Übersicht des PHP-Projekts.
- Im Verwaltungsbereich gibt es Benutzerkonten, die niemand zuordnen kann.
- Bei Google erscheinen zu Ihrer Website Suchergebnisse mit fremden Themen.
- Es gibt niemanden, der für die Website zuständig ist.
Was sollten Sie jetzt tun?
- Legen Sie fest, wer für die Pflege Ihrer Website verantwortlich ist.
- Sichern Sie die Website vollständig, bevor Sie etwas ändern.
- Spielen Sie Updates für CMS, Theme und Plugins ein und entfernen Sie Erweiterungen, die Sie nicht mehr nutzen.
- Prüfen Sie die Benutzerkonten und ändern Sie die Passwörter der Administratoren.
- Stellen Sie die Website auf eine aktuelle PHP-Version um und testen Sie danach Formulare, Shop und Anmeldung.
- Planen Sie einen Neuaufbau, wenn sich Theme oder Shop-Software nicht mehr aktualisieren lassen.
Wie schützen Sie Ihre Website dauerhaft?
Regelmäßige Pflege ist der wirksamste Schutz, weitere Schutzschichten begrenzen den Schaden im Ernstfall. Eine Web Application Firewall wie Cloudflare wehrt viele Angriffe ab, bevor sie Ihre Website erreichen. Mit einem regelmäßigen Backup über Acronis Cyber Protect Cloud stellen Sie eine Website nach einem Angriff schnell wieder her. Und mit einem SSL-Zertifikat im Abo verlängert sich die Verschlüsselung Ihrer Website automatisch.
Sollen wir Ihre Website prüfen?
Wir prüfen Ihre Website auf veraltete Software, unbekannte Benutzerkonten und versteckten Spam und bringen sie wieder auf einen aktuellen Stand. Buchen Sie einen Termin oder schreiben Sie uns über das Kontaktformular.
