Websites herunterladen, die CPG Dragonfly nutzen

Über CPG Dragonfly

Websoftware aus der Ära der Fotoalben, Forensignaturen und Besucherzähler ist größtenteils auf dem Müll gelandet, und die darauf gebauten Websites mit ihr. CPG Dragonfly gehört zu den Überlebenden. Die Initialen im Namen verweisen noch auf das Fotogalerie-Paket, das das System als Kernmodul enthielt, eingebettet in ein allgemeines Content-System, das Hobby-Webmastern neben ihren vorhandenen Alben auch News-Beiträge, Artikel und Benutzerkonten bot. Wer damals eine Community-Website betrieb, musste genau diese Art von PHP-Paket von Hand zusammenstellen.

Die Jahreszahlen sprechen für sich. Laut unseren Daten ist CPG Dragonfly seit 2004 im Einsatz, in PHP geschrieben und unter der Lizenz GPL v2 veröffentlicht, womit die Designentscheidungen des Systems aus einer Zeit stammen, in der sich das meiste von dem, was die moderne PHP-Welt heute für selbstverständlich hält, noch nicht durchgesetzt hatte. Prepared Statements überall, Dependency-Manager, Framework-Konventionen und automatische Updates kamen alle erst später. Eine Codebasis dieses Jahrgangs, die noch immer Anfragen beantwortet, wurde in der Regel nicht umgeschrieben, um diesen Standards zu genügen, und in der Praxis laufen die verbliebenen Installationen, weil niemand sie angefasst hat, und nicht, weil sich jemand kürzlich für sie entschieden hat.

Stand Oktober 2026 erkennen wir CPG Dragonfly auf 62 Websites, eine Zahl, die man als Untergrenze lesen sollte. Gerade bei Altinstallationen kann ein Generator-Tag oder ein Theme-Pfad bei einem Hosting-Umzug entfernt, umbenannt oder verloren gegangen sein, und eine verwaiste Website ist zum Zeitpunkt des Crawls auch seltener überhaupt erreichbar. Die Erkennung stützt sich auf Merkmale im ausgelieferten HTML, sodass eine gehärtete oder stark angepasste Installation laufen und für uns trotzdem unsichtbar bleiben kann.

Wer diese Liste haben will, will sie nicht wegen der Software. Ein ungepflegtes Content-System mit Benutzerkonten und Datei-Uploads ist eine dauerhaft offene Sicherheitsfrage, und für alle, die Schwachstellenforschung, koordinierte Offenlegung, Risikobewertungen ganzer Branchen oder Aufräumarbeiten beim Hosting betreiben, ist der Bestand an Domains, auf denen ein solches System noch läuft, das eigentliche Forschungsobjekt. Ein Migrationsanbieter liest dieselbe Liste anders: Er sieht darin Website-Betreiber, die irgendwann umziehen müssen und bereits gezeigt haben, dass sie es nicht von sich aus tun werden.

Eine Abfrage pro Domain beantwortet eine Ja-Nein-Frage zu einer Website, die Sie bereits gefunden haben. Schwierig ist aber gerade das Finden, denn eine Altinstallation macht nicht auf sich aufmerksam, und für ein Open-Source-Projekt, das schon lange nicht mehr wächst, führt kein Anbieter eine Kundenliste. Der herunterladbare Datensatz liefert den gesamten erkannten Bestand auf einmal, mit dem übrigen Tech-Stack jeder Domain daneben, sodass sich die Gruppe filtern, stichprobenartig prüfen und mit einem späteren Snapshot vergleichen lässt, um zu sehen, wie schnell sie verschwindet.