Websites herunterladen, die KPHP nutzen

Über KPHP

Wer PHP in native Binärdateien kompiliert, will das PHP gerade verschwinden lassen, was es seltsam macht, überhaupt einen Compiler im Fingerabdruck einer Website zu finden. KPHP führen wir in unserem Index in der Kategorie Programming languages. Ausgerichtet ist KPHP auf PHP, veröffentlicht wird es vom Anbieter VK (VKontakte) unter der Lizenz GPL v3, und unser Eintrag datiert es auf das Jahr 2020.

Stand Oktober 2026 erkennen wir den Fingerabdruck auf 11 Websites. Dass der Bestand so klein ist, ist das eigentliche Ergebnis und keine Randnotiz. Allzweck-Laufzeitumgebungen verbreiten sich über Hosting-Panels und Ein-Klick-Installer und landen am Ende auf enorm vielen Websites. Ein Compiler, der das Skalierungsproblem eines einzelnen Betreibers lösen sollte, bleibt dagegen nah an seinem Ursprung. Die Websites, auf denen er läuft, setzen ihn meist bewusst ein und werden von Entwicklern gepflegt, die sich für eine unübliche Toolchain entschieden und den damit verbundenen Aufwand in Kauf genommen haben.

Die Einordnung in die Kategorie Programming languages kann Leser hier in die Irre führen. Ist bei einer Website eine Sprache eingetragen, heißt das normalerweise, dass der in Produktion laufende Quellcode in dieser Sprache geschrieben ist, und wer nach Deployments mit PHP filtert, erfasst nebenbei Interpreter-Installationen, Hosting-Voreinstellungen und Framework-Entscheidungen. Eine kompilierte Website ist etwas anderes. Der Quellcode mag in PHP geschrieben sein, doch auf die Anfrage antwortet eine Binärdatei, sodass betriebliche Fragen zu Konfiguration, Erweiterungen und Laufzeiteinstellungen andere Antworten haben und Werkzeuge, die einen Interpreter erwarten, oft überhaupt nichts melden.

Die Versionsdaten überstehen den Kompilierschritt, was sich als unerwartet nützlich erweist. Wir führen 4 verschiedene Versionsstrings, und in der Versionsspalte steht bei uns Version 7.4.127539. Der Aufbau der Versionsstrings lohnt einen genauen Blick, denn sie koppeln eine Kompatibilitätsstufe der Sprache an einen langen Build-Zähler. Was zunächst nach starker Versionsfragmentierung aussieht, ist deshalb größtenteils Build-Drift zwischen einzelnen Deployments und keine Abfolge öffentlicher Releases. Wer die Streuung der Versionen als Indikator für Update-Disziplin nutzt, sollte das berücksichtigen, bevor er Schlüsse zieht.

Die praktische Folge betrifft den Weg der Patches. Eine Website, die von einer kompilierten Laufzeitumgebung ausgeliefert wird, nimmt Sicherheitshinweise aus dem PHP-Projekt nicht so auf wie eine Interpreter-Installation, denn ein Fix muss zuerst das Compiler-Projekt durchlaufen und danach einen neuen Build und ein erneutes Deployment, beides nach dem eigenen Zeitplan des Betreibers. Für alle, die Angriffsflächen kartieren, gehört eine Website auf dieser Laufzeitumgebung in eine andere Schublade als eine Website mit Standard-PHP, und die beiden sollten nicht anhand desselben Feeds mit Sicherheitshinweisen bewertet werden.

Die Erkennung ist schwächer, als die Zahl allein vermuten lässt. Kompilierte Ausgabe gibt sich nur zu erkennen, wenn ein Betreiber einen Header, eine Fehlerseite oder ein Build-Artefakt stehen lässt, und all das lässt sich entfernen, ohne die Website funktionsunfähig zu machen, sodass der tatsächlich eingesetzte Bestand wahrscheinlich größer ist als das, was wir beobachten. Das Argument für eine Liste statt einer Einzelabfrage folgt unmittelbar daraus. In dieser Größenordnung lassen sich die Websites nicht durch das Raten von Domains finden, und ein Verzeichnis davon gibt es nirgendwo sonst, weshalb der Export der eigentliche Weg ist, sie zu entdecken, und nicht bloß eine Bequemlichkeit. Mit den Spalten für Land, Endung und Version reicht der erkannte Bestand aus, um zu prüfen, ob der Einsatz außerhalb der eigenen Websites des Anbieters ein echtes Muster ist oder nur eine Handvoll verwandter Hosts unter gemeinsamer Verwaltung.