Websites herunterladen, die CubeCart nutzen

Über CubeCart

CubeCart gehört zu der Generation von Warenkorbsystemen, die entstanden, bevor es gehosteten Onlinehandel überhaupt gab. Software aus dieser Zeit wurde als Download gekauft, auf ein Shared-Hosting-Konto hochgeladen und vom Händler selbst betrieben, und ein guter Teil davon läuft noch genau dort, wo er zuerst installiert wurde. Unsere Daten datieren die Technologie auf 2003, nennen PHP als Programmiersprache und führen sie unter der Lizenz GPL v2 des Anbieters CubeCart Ltd.

Stand Oktober 2026 erkennen wir CubeCart auf 211 Websites. Selbst gehostete Software bringt eine besondere Art von Bestand hervor. Niemand wird automatisch migriert, niemand über Nacht aktualisiert, weil ein Anbieter ein Release ausrollt, und der Bestand altert vor sich hin, und zwar in dem Tempo, das jeder Händler selbst wählt. Die Liste reicht deshalb von aktiv gepflegten Shops mit einem Entwickler in Rufbereitschaft bis zu aufgegebenen Seiten, die noch erreichbar sind, noch einen Katalog anzeigen und noch Kartennummern annehmen.

Mehrere Gruppen fragen genau nach dieser Liste. Anbieter von gehostetem Onlinehandel betrachten selbst gehostete Warenkörbe als Migrationsmarkt, denn der Händler hat bereits bewiesen, dass er online verkaufen will, und trägt die Betriebskosten dafür allein. Genau auf diesem Argument baut das Verkaufsgespräch auf. Zahlungsanbieter argumentieren bei der Platzierung ihrer Gateways genauso. Sicherheitsforscher lesen die Liste vom anderen Ende her, denn ein Open-Source-Warenkorb mit langer Geschichte hat eine ebenso lange Geschichte an Sicherheitshinweisen, und gerade in selbst gehosteten Installationen sammeln sich ungepatchte Versionen jahrelang unbemerkt an.

Die Daten enthalten keine Versionsangaben, und diese Lücke wiegt bei der Sicherheitsfrage am schwersten. Ohne Version lässt sich feststellen, dass ein Shop die Software einsetzt, aber nicht, ob er ein aktuelles Release nutzt. Wer an der Patch-Frage arbeitet, muss Versionen daher selbst abrufen und per Fingerabdruck bestimmen und sollte diese Datei als Kandidatenmenge behandeln und nicht als Ergebnis. Die Zählung ist aber auch keine Obergrenze. Ein Warenkorb, den eine Agentur unter eigener Marke umgestaltet hat, dessen Standardpfade umbenannt wurden oder der hinter einer Caching-Schicht steht, die sein Markup umschreibt, kann unerkannt bleiben.

Eine Abfrage pro Domain klärt eine Support-Frage zu einem einzelnen Shop. Der Export klärt eine Marktfrage: wie viele Händler noch ihren eigenen Commerce-Stack betreiben, was sie daneben einsetzen, bei welchen Hosting-Anbietern sie sich häufen und in welchen nationalen Märkten sich die Gewohnheit des Self-Hostings am längsten gehalten hat. Nach Endung sortieren, mit Hosting-Daten abgleichen und dann eine Stichprobe von Hand prüfen, so sieht der Weg der Analyse aus, und keine noch so große Zahl einzelner Prüfungen kann ihn ersetzen.