Websites herunterladen, die Adobe ColdFusion nutzen

Über Adobe ColdFusion

Software, die seit 1995 ununterbrochen ausgeliefert wird, bleibt nicht zufällig im Produktivbetrieb. Adobe ColdFusion gehört zu einer Generation von Plattformen, die gebaut wurden, um Datenbanken ins Web zu bringen, als das noch schwierig war. Die Installationen, die heute noch laufen, haben überlebt, weil jemand entschieden hat, dass eine Neuentwicklung riskanter wäre als eine Verlängerung. Wer die Plattform auf einer Domain findet, macht damit ebenso eine Beobachtung über die Organisation wie eine technische.

Die kommerziellen Bedingungen schärfen diese Lesart. Der Anbieter Adobe verkauft die Plattform unter der Lizenz Proprietary mit echten Kosten pro Server, sodass hinter jeder Website hier eine Bestellung steht, die jemand in jedem Zyklus neu abzeichnet. Niemand kauft einen lizenzierten Anwendungsserver für ein Wochenendprojekt. Im Bestand sind Behörden, Universitäten, Versicherer, Hersteller und die Beratungen, die für sie arbeiten, überdurchschnittlich vertreten, also Organisationen mit langsamer Beschaffung, deren Anwendungen die Teams überdauern, die sie geschrieben haben.

Unter der Oberfläche ist die moderne Engine in Java implementiert und läuft auf der JVM, was für alle wichtig ist, die Betriebsrisiken bewerten. Eine Installation erbt sowohl den Patch-Rhythmus der Plattform selbst als auch den der Laufzeitumgebung darunter, und ältere Releases weisen eine dokumentierte Reihe von Remote-Schwachstellen auf, die innerhalb weniger Tage nach ihrer Offenlegung ausgenutzt werden. Bei einer Domain, auf der wir Adobe ColdFusion erkennen, ist die Frage nach der Patch-Disziplin durchaus berechtigt.

Stand Oktober 2026 erkennen wir die Plattform auf 2.272 Websites, und die Zahl lässt sich besser als Untergrenze lesen denn als Vollerhebung. Die Erkennung stützt sich auf Server-Header, Cookie-Namen, erhalten gebliebene Dateiendungen und Fingerprints von Fehlerseiten, und all das kann eine gehärtete Installation hinter einem Reverse Proxy mit umgeschriebenen URLs entfernen. Die Untererfassung ist hier systematisch und nicht zufällig, denn die unauffälligen Installationen sind meist die gut gewarteten.

Die ganze Liste zu nehmen, statt Domains einzeln zu prüfen, lohnt sich, weil die interessanten Fragen nie eine einzelne Website betreffen. Migrationsberatungen, konkurrierende Plattformanbieter, Sicherheitsteams, die abschätzen, wen eine Sicherheitswarnung betrifft, und Recruiter, die herausfinden wollen, wo CFML-Kenntnisse noch bezahlt werden, brauchen alle dasselbe: die vollständige Liste der Organisationen, die sich für diese Plattform entschieden und die Entscheidung noch nicht rückgängig gemacht haben, samt Land, Branche und dem übrigen Stack. Eine Einzelabfrage pro Domain zeigt, ob eine Website die Plattform einsetzt. Die herunterladbare Liste zeigt, wer noch darauf setzt und wo sich die verbliebenen Installationen konzentrieren.