Websites herunterladen, die Java Servlet nutzen

Über Java Servlet

Eine Website setzt Java Servlet nicht zufällig ein. Die Entscheidung fällt einmal, meist durch ein Entwicklungsteam, das einen Applikationsserver wie Tomcat, JBoss oder WebSphere aufsetzt, und danach bleibt die Technologie so lange im Einsatz wie die Anwendung. Niemand tauscht eine Servlet-Schicht so aus, wie man ein Plugin austauscht. Die Technologie ist daher ein Kennzeichen einer bestimmten Art von Organisation: einer mit eigenen Java-Entwicklern, einem Release-Prozess und einer Anwendung, die älter ist als die aktuelle Mode bei Web-Stacks.

Java Servlet kam 1997 auf, als serverseitige Webprogrammierung noch weitgehend CGI-Skripte bedeutete, und wurde zu der Schicht, auf der spätere Java-Web-Frameworks aufbauten. Inzwischen betreut die Organisation Eclipse Foundation die Technologie und veröffentlicht sie unter der Lizenz Apache 2.0 als Teil der Jakarta-Familie. Die Umbenennung ist für alle wichtig, die eine Liste zusammenstellen, denn Installationen im Betrieb melden sich noch immer sowohl unter dem alten als auch unter dem neuen Namen, und ein Erkennungsverfahren, das nur einen davon kennt, übersieht unbemerkt einen Teil des Bestands.

Die Erkennung bleibt in jedem Fall ein Rückschluss. Eine Servlet-Schicht gibt sich im Seiteninhalt selten zu erkennen. Stattdessen werten wir Container-Signaturen, Namen von Session-Cookies, Fingerabdrücke von Fehlerseiten und die URL-Muster aus, die ein Servlet-Container hinterlässt. Eine Website hinter einem Reverse Proxy oder einem CDN, das diese Signale entfernt, wird überhaupt nicht gezählt, daher ist die Zahl eine Untergrenze und keine Vollerhebung. Stand Oktober 2026 verzeichnen wir Java Servlet auf 15.055 Websites.

Die Versionsangaben sind dünner und zugleich aufschlussreicher. Nur einem Teil dieses Bestands können wir ein bestimmtes Release zuordnen. Dieser Teil verteilt sich auf 8 verschiedene Versionen, und am häufigsten ordnen wir Version 2.5 zu. Ein Stack, der noch ein älteres Servlet-Release meldet, verrät etwas über seinen Update-Rhythmus und damit auch über seine Bereitschaft zu einem Migrationsprojekt und seine Anfälligkeit für alles, was in den übersprungenen Versionen behoben wurde.

Zwei Zielgruppen kaufen diesen Ausschnitt der Daten. Anbieter von Applikationsservern, Monitoring-Agenten, Java-Laufzeitumgebungen oder Modernisierungsdiensten müssen wissen, welche Unternehmen überhaupt noch einen Servlet-Bestand haben, denn dieser Bestand wächst nicht und ist von außen nicht sichtbar. Sicherheitsforscher brauchen die umgekehrte Sicht: ein laufend gepflegtes Verzeichnis von Hosts mit einer Container-Schicht, deren Schwachstellen den ganzen Container betreffen und nicht eine einzelne Website. Eine Abfrage pro Domain hilft keiner der beiden Gruppen. Die Prüfung einer Website zeigt, was diese Website einsetzt. Nur ein vollständiger Export ermöglicht es, den Servlet-Bestand nach Land, Endung und gemeinsam auftretenden Technologien zu filtern und das Ergebnis dann an jemanden weiterzugeben, der danach handeln muss.