Websites herunterladen, die Kohana nutzen

Über Kohana

Kohana ist ein PHP-Framework, dessen Ursprünge auf das Jahr 2007 zurückgehen, und fast alles Interessante an den Websites, die es noch nutzen, folgt aus diesem Datum. Die öffentliche Entwicklung wurde vor Jahren eingestellt, deshalb steht ein Kohana-Fingerabdruck heute selten für eine Technologieentscheidung, die jemand in jüngerer Zeit getroffen hat. Er steht vielmehr für eine Codebasis, die einmal geschrieben, in Produktion genommen und nie migriert wurde.

Die Versionsdaten stützen diese Lesart. Über den gesamten erkannten Bestand hinweg erfassen wir 3 verschiedene Versionen, die sich um Version 3.3.6 häufen, was für ein Framework dieses Alters eine bemerkenswert schmale Verteilung ist. Aktive Projekte fächern sich über viele Releases auf, weil Teams unterschiedlich schnell und aus unterschiedlichen Gründen aktualisieren. Ein eingefrorener Bestand verdichtet sich dagegen, weil sich überhaupt nichts bewegt, und was wir hier beobachten, liegt dem zweiten Muster viel näher als dem ersten. Stand Oktober 2026 erkennen wir Kohana auf 134 Websites.

Ein nicht mehr gepflegtes PHP-Framework hat für alle, die Sicherheitsprüfungen oder Due-Diligence-Arbeit leisten, eine ganz bestimmte Bedeutung. Neu entdeckte Schwachstellen im Framework selbst werden upstream nicht mehr gepatcht, und jede Korrektur muss derjenige schreiben, dem die Anwendung gehört, sofern es so jemanden überhaupt noch gibt. Hosting-Anbieter erben dieses Risiko von Kunden, die vergessen haben, dass die Website existiert. Unternehmenskäufer erben es von Übernahmezielen, deren technische Geschichte niemand dokumentiert hat. In beiden Fällen hilft kein Ja oder Nein zu einer einzelnen Domain, denn das Risiko ist eine Frage des gesamten Portfolios und verlangt eine Antwort auf Portfolioebene.

Die kommerzielle Lesart ist das Spiegelbild der sicherheitstechnischen. Eine Website auf einem eingestellten Framework ist ein Migrationskandidat, und Migrationen sind so teuer, dass Agenturen und Plattformanbieter bereit sind, für eine qualifizierte Liste solcher Websites zu zahlen. Da das Framework unter der Lizenz BSD verbreitet wurde, musste sich nie jemand registrieren, um es zu nutzen, und so gibt es weder eine Kundenliste eines Anbieters, die man erwerben könnte, noch ein Download-Register, das sich einsehen ließe. Nur ein Crawl aktiver Websites macht diesen Bestand überhaupt sichtbar, und nur so lässt sich beobachten, wie er schrumpft, während Websites neu gebaut oder stillgelegt werden.

Die Erkennung hat echte Grenzen, die man benennen sollte. Wir erkennen Kohana an frameworkspezifischen Cookies, an Signaturen auf Fehlerseiten, am Verhalten der Header und an öffentlichen Pfaden, die bis in Produktivumgebungen erhalten bleiben. Eine Anwendung, die ihr Session-Cookie umbenannt und ihre Fehlerausgabe unterdrückt hat und hinter einem Cache steht, kann dieses Framework unsichtbar betreiben, was gerade bei den älteren, sorgfältig per Firewall abgeschirmten Installationen häufig vorkommt, in denen es meist anzutreffen ist. Unsere Zahl sollte man als den von außen noch sichtbaren Teil des Bestands lesen und nicht als den ganzen Bestand, und bei einem Framework in diesem Zustand dürfte der unsichtbare Rest beträchtlich sein.