Websites herunterladen, die HHVM nutzen

Über HHVM

Meta hat HHVM gebaut, um ein Problem zu lösen, das sich inzwischen von selbst erledigt hat. Die PHP-Codebasis von Facebook war dem Interpreter, der sie ausführte, entwachsen, also schrieb das Unternehmen in C++ eine virtuelle Maschine, die denselben Code per Just-in-Time-Kompilierung übersetzte und weit schneller ausführte. HHVM wurde 2013 öffentlich freigegeben und bot Betreibern von PHP-Anwendungen mit hohem Traffic die Möglichkeit, sich Leistung zu verschaffen, ohne ihre Anwendungen neu zu schreiben, und eine Zeit lang war es eine ernsthafte Option für alle, deren Engpass die Sprachlaufzeit selbst war.

Dann holte das PHP-Projekt in seiner eigenen Engine den größten Teil des Rückstands auf, und die Argumente für eine separate virtuelle Maschine verloren an Gewicht. HHVM entwickelte sich in Richtung Hack, der typisierten Sprache, die Meta für den Betrieb auf HHVM entworfen hatte, und weg von der Kompatibilität mit Standard-PHP. Was wir heute erkennen, ist größtenteils das, was diese Geschichte hinterlassen hat, und kein aktueller Migrationstrend.

Stand Oktober 2026 sehen wir HHVM auf 46 Websites, und das Muster der Versionsdaten sagt mehr aus als die Zahl. Wir verzeichnen 17 verschiedene Versionen in dieser Gruppe, wobei Version 3.10.1 häufiger auftaucht als jeder andere Build in unseren Daten. Eine Laufzeitumgebung mit so breiter Streuung, angeführt von einem Release aus der Zeit vor dem Bruch mit PHP, ist keine Laufzeitumgebung, die jemand aktiv aktualisiert. Jede Installation ist ein Server, den jemand aufgesetzt, optimiert und dann nicht mehr angefasst hat.

Wer diese Laufzeitumgebung auf einer Website findet, erfährt etwas recht Konkretes über den Betreiber. Dort war jemandem die Latenz der Anfragen einmal so wichtig, dass er die Standard-Engine ersetzt hat, was auf echten Traffic, eigenes Betriebs-Know-how und eine Codebasis schließen lässt, die älter ist als die Verbesserungen in PHP selbst. Ob dieses Know-how noch im Haus ist, ist eine andere Frage, und die Verteilung der Versionen deutet darauf hin, dass es in vielen Fällen fehlt. Die Engine ist zudem ein Detail des Deployments und keine Produktentscheidung, deshalb entfällt ein Teil dessen, was wir zählen, auf Managed-Hosting-Anbieter und Plattformbetreiber, ohne dass der Websitebetreiber weiß, welche Laufzeitumgebung seine Anfragen bedient.

Die Erkennung beruht auf Rückschlüssen und erfasst zu wenig. Eine Laufzeitumgebung gibt sich in Antwort-Headern oder Fehlerausgaben nur zu erkennen, wenn der Betreiber diese Angaben sichtbar lässt, und sie verschwindet, sobald ein Proxy den Header entfernt oder dem Ursprungsserver ein Cache vorgeschaltet ist. Unsere Zahl ist daher eine Untergrenze für die Installationen und unterschätzt den Traffic noch weit stärker, denn eine stark besuchte Website hinter einem Content-Delivery-Network kann unsichtbar sein, während eine ruhige ihren Build bei jeder Anfrage verkündet.

Interesse an dieser Liste haben Migrationsberatungen, PHP-Agenturen und Sicherheitsforscher. Der Code wird unter der Lizenz PHP License veröffentlicht, sodass sich der Quelltext studieren lässt und die Fehlerbilder dokumentiert sind. Unsere Einordnung in die Kategorie Web servers verortet den Befund auf der Infrastrukturebene und nicht im Marketing-Stack, und genau dort werden Sanierungs- und Modernisierungsprojekte tatsächlich verkauft. Eine Abfrage pro Domain kann einen Verdacht zu einem einzelnen Host bestätigen. Nur der vollständige Export zeigt, wer noch eine nicht mehr gepflegte Laufzeitumgebung im Produktivbetrieb einsetzt, was diese Betreiber sonst gemeinsam haben und wie schnell die Gruppe schrumpft.