Websites herunterladen, die XOOPS nutzen

Über XOOPS

Bei XOOPS zählt zuerst das Alter. Das Projekt stammt aus dem Jahr 2001 und gehört damit zur Generation der PHP-Portalsysteme, die erschienen, bevor Blogging-Plattformen die Kategorie übernahmen. Eine Website, die im Oktober 2026 noch mit XOOPS läuft, ist deshalb keine Neuentwicklung. Jemand hat sich vor langer Zeit für die Plattform entschieden, und seitdem wurde die Website entweder gepflegt, oder man hat sie einfach weiterlaufen lassen.

Gerade im Unterschied zwischen diesen beiden Zuständen liegt der Wert einer vollständigen Liste. XOOPS ist ein in PHP geschriebenes Projekt unter der Lizenz GPL v2, gepflegt von XOOPS Project, mit einem modularen Aufbau, der es Webmastern erlaubte, Foren, Nachrichtenbereiche, Mitgliederverzeichnisse und kleine Shops aus Modulen von Drittanbietern zusammenzusetzen. Die Architektur war die Stärke von XOOPS und ist heute eine Schwachstelle. Ein gepatchter Kern sagt nichts über ein aufgegebenes Zusatzmodul aus, und der Bereich, der Sicherheitsforscher interessiert, ist meist das Modul und nicht der Kern.

Wer den gesamten Bestand haben will, ist schnell aufgezählt. Migrationsanbieter und Agenturen wollen die Websites, die noch auf einem alternden PHP-Portal laufen, weil sich das Verkaufsargument von selbst ergibt und der Betreiber meist weiß, dass die Plattform nicht mehr zeitgemäß ist. Sicherheitsteams wollen eine Übersicht der Angriffspunkte eines Systems, dessen Modul-Ökosystem nie zentral gepflegt wurde. Hosting-Unternehmen wollen dieselbe Datei, weil ein Stack dieses Jahrgangs oft eine PHP-Version braucht, die ihre neueren Tarife nicht mehr anbieten, was zuerst zu einem Support-Gespräch führt, bevor es um eine Vertragsverlängerung geht.

Stand Oktober 2026 verzeichnen wir XOOPS auf 448 Websites, gemessen an der Kategorie CMS ein überschaubarer Bestand, und gerade diese Überschaubarkeit macht ihn praktisch nutzbar. Ein Bestand dieser Größe lässt sich von Hand durchsehen, nach Land und Endung segmentieren und als echte Liste abarbeiten, statt nur als Marktstatistik zitiert zu werden. Eine Abfrage pro Domain bestätigt eine Website. Die Datei zeigt, wo die verbliebenen Installationen stehen, in welchen Sprachen und bei welchen Vergabestellen sie sich häufen und wie schnell die Gruppe schrumpft, wenn man dieselbe Auswertung auf einen späteren Export anwendet.

Die Erkennung stützt sich auf Spuren, die eine Installation in ihrem HTML hinterlässt: Generator-Tags, Asset-Pfade und die Struktur ihrer URLs. Eine gehärtete Installation oder eine mit stark angepasstem Theme kann all das verbergen, und eine Website hinter einem Full-Page-Cache oder mit einem neu gebauten Frontend gibt sich überhaupt nicht zu erkennen. Bei einer Plattform dieses Alters ist die Richtung des Fehlers vorhersehbar. Die Zahl ist eine Untergrenze, und unter den Installationen, die wir nicht sehen, sind diejenigen überproportional vertreten, an denen jemandem noch genug liegt, um sie individuell anzupassen.