Websites herunterladen, die Coppermine nutzen

Über Coppermine

Der Name klingt nach Metallurgie. Tatsächlich verwaltet die Software Urlaubsfotos, Spielberichte von Vereinen und Museumsscans, und sie tut das auf Servern, auf denen sich seit Jahren niemand mehr angemeldet hat. Niemand verkauft Coppermine, niemand registriert eine Lizenz dafür, und die Freiwilligen, die das Projekt pflegen, haben keine Möglichkeit zu erfahren, wo es läuft. Eine Bestandsaufnahme der Installationen lässt sich nur erstellen, indem man das Web selbst betrachtet, und genau das ist dieser Eintrag.

Coppermine ist eine Fotogalerie-Anwendung, die in PHP geschrieben ist, unter der Lizenz GPL v2 veröffentlicht wurde und erstmals 2003 erschien, in einer Zeit, in der ein selbst gehostetes Galerieskript der übliche Weg war, Bilder ins Netz zu stellen. Die Praxis hat sich längst verlagert, hin zu gehosteten Plattformen und zu Galerie-Plugins in universellen Content-Management-Systemen. Die Einordnung in die Kategorie Photo galleries stimmt in dem weiten Sinn, dass die Software Inhalte verwaltet, doch Forschende sollten darunter konkret Galeriesoftware verstehen.

Was überdauert hat, ist gerade deshalb interessant, weil es überdauert hat. Stand Oktober 2026 sehen wir die Anwendung noch auf 185 Domains. Langlebige Installationen häufen sich auf Vereinswebsites, in Fotografie-Communitys, auf Liebhaberseiten für Motorsport und Modelleisenbahnen, in Archiven von Universitätsinstituten und bei städtischen Galerien, also auf Websites, die einmal aufgesetzt wurden und seitdem einfach weiterlaufen.

Die Versionsdaten schärfen das Bild. Bei den Installationen, die eine Versionskennung zeigen, zählen wir 42 verschiedene Versionen, und am häufigsten taucht Version 1.6.29 auf. Eine so breite Streuung bei einer einzigen Anwendung spricht eher für Vernachlässigung als für eine bewusste Wahl, denn niemand pflegt absichtlich so viele parallele Versionen eines Galerieskripts. Für alle, die die Gefährdung in Shared-Hosting-Beständen bewerten, lohnt es sich, eine alternde PHP-Anwendung mit Datei-Upload, Benutzerregistrierung und öffentlichen Kommentaren genau zu lokalisieren.

Hosting-Anbieter nutzen eine solche Liste, um Kundenkonten zu finden, die beim nächsten Upgrade der Laufzeitumgebung nicht mehr funktionieren werden. Sicherheitsforscher grenzen damit ein, wer für Lücken aus alten Sicherheitshinweisen noch anfällig ist. Agenturen und Migrationsanbieter nutzen sie als Lead-Liste, denn jede dieser Websites ist ein Kandidat für den Umzug auf eine gepflegte Plattform. Eine Abfrage pro Domain hilft bei alldem nicht weiter, denn die Frage ist nicht, ob eine einzelne Website die Software einsetzt, sondern welche Websites insgesamt sie einsetzen und wie sich dieser Bestand mit Hosting-Anbietern, Serversoftware und Ländern überschneidet.

Die Erkennung stützt sich auf Markup- und Pfadsignaturen, die die Anwendung in einer Seite hinterlässt, sowie auf die Versionsangabe, wo sie nicht entfernt wurde. Administratoren, die Verzeichnisse umbenennen, das Generator-Markup entfernen oder ihre Seiten hinter einem aggressiven Cache ausliefern, werden nicht erfasst. Die Zahl ist also eine Untergrenze und keine Messung.