Télécharger les sites web qui utilisent HHVM

À propos de HHVM

Meta a construit HHVM pour résoudre un problème qui s’est depuis résolu tout seul. La base de code PHP de Facebook avait dépassé les capacités de l’interpréteur qui la faisait tourner, alors l’entreprise a écrit une machine virtuelle en C++ qui compilait le même code à la volée et l’exécutait bien plus vite. Rendue publique en 2013, HHVM offrait aux exploitants de sites PHP à fort trafic un moyen d’acheter de la performance sans réécrire leurs applications, et elle a un temps constitué une option sérieuse pour quiconque avait pour goulet d’étranglement l’environnement d’exécution du langage lui-même.

Puis le projet PHP a comblé l’essentiel de l’écart à l’intérieur de son propre moteur, et l’argument en faveur d’une machine virtuelle séparée s’est affaibli. HHVM s’est orientée vers Hack, le langage typé que Meta a conçu pour tourner sur cette machine, et s’est éloignée de la compatibilité avec le PHP standard. Ce que nous détectons aujourd’hui relève surtout de ce que cette histoire a laissé derrière elle, et non d’une tendance de migration en cours.

En octobre 2026 nous voyons HHVM sur 46 sites, et la forme des données de version en dit plus que le décompte. Nous relevons 17 versions distinctes dans l’ensemble, 3.10.1 revenant plus souvent que n’importe quelle autre dans nos données. Un environnement d’exécution aussi dispersé, mené par une version antérieure à la séparation d’avec PHP, n’est pas un environnement que l’on met activement à jour. Chaque installation est un serveur que quelqu’un a monté, réglé, puis cessé de toucher.

Trouver cet environnement d’exécution sur un site vous apprend quelque chose d’assez précis sur l’exploitant. Quelqu’un, là-bas, s’est un jour assez soucié de la latence des requêtes pour remplacer le moteur standard, ce qui suppose un trafic réel, des compétences d’exploitation en interne et une base de code assez ancienne pour précéder le correctif. Savoir si ces compétences sont encore dans l’équipe est une autre question, et la dispersion des versions donne à penser que, dans bien des cas, elles n’y sont plus. Le moteur est par ailleurs un détail de déploiement plutôt qu’un choix de produit, si bien que des hébergeurs infogérés et des fournisseurs de plateforme représentent une partie de ce que nous comptons, sans que le propriétaire du site sache quel environnement sert la requête.

La détection procède par inférence et elle sous-estime. Un environnement d’exécution ne s’identifie dans les en-têtes de réponse ou dans les sorties d’erreur que si l’exploitant laisse cela exposé, et il disparaît dès qu’un proxy supprime l’en-tête ou qu’un cache se place devant l’origine. Notre chiffre est donc un plancher pour les installations et un plancher bien plus bas encore pour le trafic, parce qu’un site très fréquenté derrière un réseau de diffusion de contenu peut rester invisible pendant qu’un site tranquille annonce sa version à chaque requête.

Ceux qui veulent cette liste sont les cabinets de migration, les prestataires PHP et les chercheurs en sécurité. Le code est distribué sous licence PHP License, donc la source est ouverte à l’étude et les modes de défaillance sont documentés, et notre classement dans la catégorie Web servers situe la détection à la couche d’infrastructure plutôt que dans la stack marketing, et c’est à cette couche que se vendent réellement les missions de remédiation et de modernisation. Une requête domaine par domaine peut confirmer un soupçon sur un hôte unique. Seul l’export complet dit qui fait encore tourner en production un environnement d’exécution non maintenu, ce que ces exploitants ont d’autre en commun, et à quelle vitesse le groupe se réduit.