Websites herunterladen, die PHP-Nuke nutzen

Über PHP-Nuke

Bei den meisten Content-Management-Systemen ist interessant, was sie einem Herausgeber ermöglichen. Bei PHP-Nuke ist interessant, wann es stehen geblieben ist. Das Projekt stammt aus dem Jahr 2000, ist in PHP geschrieben und wird unter der Lizenz GPL v2 ausgeliefert, und sein ganzes Design gehört in eine Zeit, in der ein kleiner Server und eine Datenbank genügten, um eine Nachrichtenseite mit seitlich angeflanschten Foren zu betreiben.

Stand Oktober 2026 finden wir PHP-Nuke noch auf 123 Websites, und bei dieser Zahl lohnt es sich, kurz innezuhalten. Nichts im umgebenden Ökosystem bringt eine Installation dieses Alters voran. Es gibt keinen Anbieter, der Updates ausliefert, kein Managed-Hosting-Angebot und keinen Upgrade-Hinweis, der in einer Admin-Leiste wartet. Eine Website, auf der der Fingerprint heute anschlägt, ist mit wenigen Ausnahmen eine Website, die seit sehr langer Zeit niemand neu aufgebaut hat.

Ein Verzeichnis so alter Installationen hat einen Nutzen, den eine Liste aktueller CMS nicht hat. Für Sicherheitsforscher bildet es ungepatchten Legacy-Code ab, der öffentlich noch immer auf Anfragen antwortet. Für eine Agentur ist es eine Migrations-Pipeline, denn jede Domain darauf ist ein Kandidat für einen Neuaufbau, dessen Betreiber bereits gezeigt hat, dass er die Arbeit nicht selbst übernimmt. Für alle, die untersuchen, wie das Web tatsächlich altert, ist es eine überlebende Stichprobe aus einer frühen Generation selbst gehosteter Publikationssoftware, die noch lange weiterläuft, nachdem sich die Debatte längst anderem zugewandt hat.

Die Erkennung ist ein Fingerprint-Abgleich mit Markup und Pfaden, die die Software in öffentlichen Seiten hinterlässt, und wie zu erwarten ist sie in beide Richtungen ungenau. Installationen hinter einer Caching-Schicht oder einem umgeschriebenen Frontend tauchen unter Umständen nie auf. Forks und Nachfahren der Codebasis, von denen es viele gab, können genug von der ursprünglichen Signatur enthalten, um mitgezählt zu werden. Angesichts des Alters des Projekts und der vielen Derivate, die es hervorgebracht hat, lässt sich die Zahl besser als sichtbarer Ausschnitt eines größeren und unschärferen Bestands lesen denn als genaue Zählung.

Was eine Einzelabfrage pro Domain nicht zeigen kann, ist, ob die Installation vor Ihnen ein vereinzeltes Überbleibsel ist oder Teil eines Musters. Die herunterladbare Liste macht das Muster sichtbar: jede erkannte Domain in einer Datei, sortierbar nach Endung und verknüpfbar mit allem, was diese Websites sonst noch betreiben. Bei einer so alten Codebasis sind die benachbarten Spalten meist die aufschlussreichere Hälfte des Eintrags, denn sie zeigen, ob die Website wirklich eingefroren ist oder nur eine antike Komponente in einem sonst neueren Aufbau enthält.