Websites herunterladen, die Adminer nutzen

Über Adminer

Ein Panel zur Datenbankverwaltung ist ein Wartungswerkzeug und nichts, was ein Websitebetreiber veröffentlichen will. Finden wir Adminer von außen, hat die Oberfläche auf eine Anfrage geantwortet, die über das offene Internet kam und nicht aus einem privaten Netz, was fast nie der Absicht der Person entspricht, die das Tool hochgeladen hat.

Adminer ist ein in PHP geschriebenes Datenbank-Frontend, das unter der Lizenz Apache 2.0 veröffentlicht wird und seit 2007 verfügbar ist. Das Argument für diese Bauweise ist die Dateizahl: eine Datei hochladen, benutzen, löschen. In der Praxis wird gerade das Löschen übersprungen, und vergessene Kopien sind der Grund, warum das Tool überhaupt in einem Crawl des öffentlichen Webs auftaucht. Dass ein Anmeldebildschirm auf eine Anfrage antwortet, ist noch kein Einbruch. Antwortet er aber unter einer öffentlichen Adresse, liegt eine offene Angriffsfläche vor, deren einziger verbleibender Schutz ein Passwort ist.

Die Streuung der Versionen macht das noch deutlicher. Wir erfassen 11 verschiedene Versionsangaben, und am häufigsten sehen wir Version 4.8.1. Eine selbst gehostete Einzeldatei aktualisiert sich nicht automatisch. Die Version auf einem Host ist daher ein Zeitstempel dafür, wann jemand diesen Server zuletzt angefasst hat, und kein Abbild dessen, was das Projekt aktuell ausliefert. Eine breite Streuung alter Versionsangaben im Bestand ist ein brauchbarer Indikator dafür, wie viel der installierten Basis unbeaufsichtigt läuft, was dann ins Gewicht fällt, wenn eine Schwachstelle für eine bestimmte Release-Linie veröffentlicht wird und die Behebung voraussetzt, dass ein Mensch es bemerkt.

Stand Oktober 2026 führt der Datensatz Adminer auf 55 Websites. Die tatsächliche Zahl ist mit Sicherheit höher. Kopien, die unter nicht erratbaren Pfaden abgelegt, durch Authentifizierung auf Serverebene geschützt, per Adress-Allowlist beschränkt oder auf Ports ausgeliefert werden, die ein Webcrawler nie besucht, sind für jede Beobachtung von außen unsichtbar. Unsere Zahl beschreibt den öffentlich erreichbaren Teil. Den Abstand zwischen diesem Teil und der installierten Basis können wir nicht seriös messen, und deshalb behaupten wir auch nichts darüber.

Wer die Liste braucht, will in der Regel absichern und nicht ausspähen. Hosting-Anbieter durchsuchen den Bestand ihrer eigenen Kunden nach offen erreichbaren Verwaltungspanels. Anbieter von Attack-Surface-Management brauchen den Bestand als Vergleichsgröße dafür, was normal ist. Sicherheitsforschende, die untersuchen, wie selbst gehostete Werkzeuge altern, brauchen die Versionsverteilung über viele Hosts hinweg, nicht über einen einzigen. Jede dieser Fragen betrifft eine Menge von Domains, und keine davon lässt sich klären, indem man eine Domain prüft, die man bereits kennt. Die Prüfung einer Domain bestätigt einen Verdacht. Der Export liefert überhaupt erst die Menge der Hosts, die es zu untersuchen gilt, verknüpft mit Hosting-Anbieter, Land und dem übrigen Stack jeder Domain, und genau dort beginnt die eigentliche Analyse.