Websites herunterladen, die Subrion nutzen

Über Subrion

Selbst gehostete Content-Systeme in PHP überleben oft in stillen Ecken des Webs, und Subrion ist eines davon. Das Projekt beschreibt sich als Content-Management-System und Framework für Websites jeder Art, vom Blog bis zum Unternehmensportal, mit Templates und Plugins, die sich direkt aus dem Admin-Dashboard installieren lassen, Mehrsprachigkeit im Kern und standardmäßig mitgelieferter Blogfunktion. Wer es auf einer Domain findet, erfährt, dass sich jemand für eine selbst gehostete PHP-Anwendung statt einer gehosteten Plattform entschieden hat, aber nicht, wofür die Website da ist.

Nischenplattformen dieser Art altern anders als verbreitete. Eine Website wird darauf gebaut, die Agentur, die sie gebaut hat, zieht weiter, und die Installation läuft, solange die Hosting-Rechnung bezahlt wird, denn nichts erzwingt ein Upgrade, bis etwas kaputtgeht. Praktisch ergibt sich daraus ein Bestand mit einem hohen Anteil an Websites, die älter sind, als ihre Softwarewahl vermuten lässt, und einem nennenswerten Anteil, in den sich seit Langem niemand mehr eingeloggt hat. Für Sicherheitsforscher ist das der interessante Teil, denn eine unbeaufsichtigte PHP-Anwendung auf einer aktiven Domain ist eine Angriffsfläche. Für ein Vertriebsteam ist es ein Filter, den man anwenden sollte, statt ihn zu ignorieren.

Stand Oktober 2026 erkennen wir Subrion auf 141 Websites. Das Projekt wird dem Anbieter Intelliants zugeschrieben, stammt aus dem Jahr 2008, ist in PHP geschrieben, wird im Lizenzmodell Open Source vertrieben und gehört bei uns zur Kategorie CMS. Die Erkennung stützt sich auf Markup-Konventionen, Asset-Pfade und Admin-Routen statt auf eine Kennung des Anbieters, und das hat zwei Seiten. Eine stark angepasste Installation kann sich vor uns verbergen, und eine abgespeckte kann schwer von einer nackten PHP-Anwendung zu unterscheiden sein, weshalb diese Zählung mit mehr Unsicherheit behaftet ist, als es bei einem gehosteten Widget der Fall wäre.

Der Export beantwortet die Frage nach dem Bestand. Eine Abfrage pro Domain bestätigt, dass eine Website dieses CMS nutzt, was für sich genommen selten nützlich ist. Die Liste zeigt, wie viele solcher Websites es gibt, in welchen Ländern und unter welchen Endungen sie sich häufen, ob die Gruppe schrumpft, weil Websites neu gebaut werden, oder stabil bleibt, und welche Hosting-Anbieter den Großteil davon beherbergen. Anbieter von Migrationsdiensten, Autoren von Erweiterungen, Sicherheitsteams, die Ziele für eine verantwortungsvolle Offenlegung zusammenstellen, und alle, die Projekte für einen Plattformwechsel anbieten, brauchen die Gruppe und nicht den Einzelfall, und die Gruppe gibt es nur als herunterladbare Datei.