Websites herunterladen, die PHPFusion nutzen

Über PHPFusion

An den Versionsdaten verrät selbst gehostete Software, wie sie wirklich gepflegt wird. Eine Plattform, die als Download verteilt wird, hat keinen automatischen Update-Weg, es sei denn, der Betreiber richtet selbst einen ein. Die Streuung der Versionen über die aktiven Installationen misst deshalb die Update-Disziplin eines ganzen Bestands unabhängiger Administratoren auf einmal.

Stand Oktober 2026 erkennen wir die Plattform insgesamt auf 3 Websites. Eine Streuung dieser Breite in einem Bestand dieser Größe bedeutet, dass die meisten Installationen im entscheidenden Sinn unbeaufsichtigt sind. Sie wurden eingerichtet, sie funktionieren, und niemand liest die Versionshinweise.

Der Rest des Eintrags erklärt, warum. PHPFusion ist seit 2003 im Umlauf, ist in PHP geschrieben und wird unter der Lizenz AGPL vertrieben, einer Copyleft-Lizenz, an der kein Anbieterkonto hängt. Kein Anbieter führt eine Kundenliste, niemand verteilt Updates, und das Projekt kann nicht sagen, wie viele Websites es hat. Nur eine Erhebung von außen liefert eine Gesamtzahl, und nur Versions-Fingerprints erlauben überhaupt eine Aussage darüber, wie aktuell diese Websites sind.

Die beiden Messungen haben Grenzen, die man benennen sollte. Versionsangaben stammen aus Generator-Metadaten und Asset-Pfaden, die ein Administrator entfernen kann, und gehärtete oder stark angepasste Installationen tun das oft. Websites, deren Version wir nicht bestimmen können, zählen zwar zur Gesamtzahl, tragen aber nichts zur Aufschlüsselung nach Versionen bei, was diese Aufschlüsselung zugunsten von Standardinstallationen verzerrt. Nüchtern betrachtet beschreibt unsere Versionsverteilung also die Websites, die sorglos genug sind, ihre Version zu veröffentlichen, und das sind sehr wahrscheinlich genau die Websites, die ein Upgrade am dringendsten brauchen.

Die Frage, wer die ganze Liste statt einer Einzelabfrage braucht, ist hier leicht zu beantworten. Sicherheitsforscher und Hosting-Anbieter wollen den Bestand, denn eine Prüfung pro Domain sagt etwas über eine einzige Website, während das Gesamtbild zeigt, wo sich eine Häufung ungepatchter Versionen tatsächlich befindet. Wartungs- und Migrationsanbieter wollen die Domains mit alten Versionen, also eine Liste potenzieller Kunden, die durch eine überprüfbare technische Tatsache definiert ist statt durch eine Vermutung über die Unternehmensgröße. Und wer untersucht, wie von der Community gepflegte Portalsoftware im offenen Web gealtert ist, braucht eine vollständige Erhebung statt einzelner Beispiele, denn diese Websites sind einzeln klein und machen zusammen die ganze Geschichte aus.