Websites herunterladen, die Super Socializer nutzen

Über Super Socializer

Erst bei den Versionsdaten wird die Erkennung eines Plugins von einer Randnotiz zu etwas, das im Betrieb nützt. Über alle für uns sichtbaren Installationen von Super Socializer hinweg laufen 136 verschiedene Releases gleichzeitig, mit einem Schwerpunkt bei Version 7.14.5. Eine so breite Streuung ist keine Kuriosität. Ein Plugin für Social Login und Sharing liegt im Authentifizierungspfad, verarbeitet Tokens externer Identitätsanbieter und fügt Markup in öffentliche Seiten ein. Der Abstand zwischen dem aktuellen Release und dem, was eine bestimmte Website tatsächlich einsetzt, ist deshalb eine Sicherheitsfrage und keine Frage der Systempflege.

Eine Fragmentierung in diesem Ausmaß ist im Plugin-Ökosystem rund um PHP normal und hat strukturelle Ursachen. Automatische Updates sind optional und oft abgeschaltet, Websites, die ein Auftragnehmer gebaut hat, beobachtet danach häufig niemand mehr, und jede Anpassung, die das Plugin berührt hat, macht ein Update so riskant, dass es auf unbestimmte Zeit verschoben wird. Das Ergebnis ist ein Installationsbestand, in dem Releases aus mehreren Epochen nebeneinander existieren, und kein Anbieter hat Einblick darin, denn ein Plugin unter der Lizenz GPL v2, das über ein öffentliches Verzeichnis verteilt wird, erzeugt Downloadzahlen und keine Kundenliste.

Stand Oktober 2026 erkennen wir Super Socializer auf 2.484 Websites. Das Plugin kennzeichnet eine Website, die registrierte Nutzer, Kommentare oder Traffic über Sharing wollte, ohne etwas davon selbst zu bauen, was auf Blogs, Nachrichtenseiten, Foren und Community-Projekte weit eher zutrifft als auf Onlineshops oder Unternehmensseiten. Es erschien 2014 und gehört in die Zeit, in der Social Login selbstverständlich erwartet wurde, und ein großer Teil des Installationsbestands stammt aus dieser Phase, was mit erklärt, warum so viele alte Releases überleben.

Die Erkennung liest die eigenen Assets des Plugins und das Markup, das es ausgibt, und ob sich ein Release bestimmen lässt, hängt davon ab, ob diese Assets eine Versionsangabe enthalten. Minifizierung, das Zusammenführen von Assets und Härtungs-Plugins, die Versionsangaben gezielt entfernen, machen das zunichte, sodass ein Teil der Installationen ohne Release erscheint und das Bild der Fragmentierung auf der Teilmenge beruht, die eines preisgibt. Wenn eine Website diese Information verbirgt, erfassen wir das Plugin und lassen das Release offen, statt zu raten.

Die Prüfung einer einzelnen Domain zeigt, ob ein Blog das Plugin nutzt, und für sich genommen ist das nicht viel wert. Ein vollständiger Export mit Release-Daten klärt eine andere Art von Fragen. Sicherheitsforscher können den betroffenen Bestand für eine bestimmte Sicherheitswarnung beziffern, bevor sie entscheiden, ob sich ein Bericht lohnt. Maintainer können sehen, wie schnell ihre Nutzer tatsächlich migrieren. Hosting-Unternehmen können auf ihrer eigenen Infrastruktur Kunden finden, die alten Code betreiben, und konkurrierende Plugin-Anbieter können Websites ausmachen, deren aktuelles Tool sichtbar nicht mehr gepflegt wird. Nichts davon lässt sich Domain für Domain klären, denn jede dieser Fragen betrifft eine Verteilung und nicht eine einzelne Website.