22.10.2026
Сайт, выключенный на срочное обновление, должен отдавать код 503
Если сайт приходится выключать ради аварийного обновления, на время простоя лучше отдавать код 503, а не оставлять запросы без ответа.
Так советует Джон Мюллер из команды Google Поиска: «использовать HTTP 503 вместо того, чтобы ответы отваливались по таймауту, отдавали 404 или 500».
Повод у совета конкретный: в этот день сайты по всему миру уходили в офлайн из-за двух уязвимостей PHP, которые получили общее название PHP2Shell.
Исправления вышли 21 октября — это версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для снятых с поддержки ветвей 7.4, 8.0 и 8.1 проект выложил отдельные патчи к исходному коду, а готовый пакет для них нужно искать у своего дистрибутива или хостинг-провайдера. Обе уязвимости оценены в 9.2 по CVSS 4.0 и позволяют выполнить код на сервере без авторизации.
На утро 22 октября массовых атак не зафиксировано, рабочего универсального эксплойта в открытом доступе нет
Зачем об этом знать
Код 503 говорит поиску, что сайт недоступен временно: робот вернётся позже, а страницы останутся в индексе. Таймаут, 404 и 500 читаются иначе — как поломка или удаление, и при долгом простое адреса начинают выпадать из поиска, а возвращать их потом приходится переобходом.
Сайт, собранный на платформе, обновляется на стороне платформы: проверка версии и настройка ответа 503 касаются тех, у кого сайт лежит на своём сервере.
Что делать:
- Если сайт собран на Тильде, ничего: разработчики уже защитили платформу от атак, все сайты в безопасности.
- Если сайт настроен не на Тильде, обязательно обратиться к специалисту для защиты сайта от PHP2Shell. На время работ настроить ответ 503.
Источники
