Télécharger les sites web qui utilisent phpPgAdmin

À propos de phpPgAdmin

Un panneau d’administration de base de données ne devrait pas pouvoir se trouver depuis l’extérieur tout court. phpPgAdmin existe pour donner à un exploitant une fenêtre de navigateur sur un serveur PostgreSQL, afin de parcourir des schémas, de lancer des requêtes, de modifier des rôles et d’exporter des tables. Chacune de ces actions a sa place derrière un VPN ou un hôte rebond, donc un crawl qui trouve l’écran de connexion sur une adresse publique a trouvé quelque chose que l’exploitant n’avait sans doute pas l’intention de publier.

En octobre 2026 nous voyons phpPgAdmin sur 7 sites. Un décompte aussi bas en dit moins sur l’usage réel de l’outil que sur la rareté des cas où il est joignable. Beaucoup d’installations se trouvent sur des noms d’hôtes internes, sur un port que personne ne scanne, ou derrière un proxy d’authentification qui ne renvoie rien qu’un crawler saurait reconnaître. Notre chiffre est un plancher construit à partir des instances qui répondent sur une adresse web publique, et les instances qui répondent publiquement sont exactement les instances intéressantes.

Le logiciel lui-même est ancien à l’échelle du web. Notre fiche date phpPgAdmin de 2001, sous licence GPL v2 et écrit en PHP, de l’époque où les panneaux de contrôle des hébergements mutualisés livraient un client de base de données web en standard et où l’accès en ligne de commande était une option haut de gamme. Rien dans cet héritage ne rend l’outil dangereux en soi. Un logiciel de ce millésime tend tout de même à se trouver aux côtés d’autres logiciels du même millésime, et un hébergeur qui fournit encore ce panneau à ses clients est souvent un hébergeur qui fait encore tourner un vieux runtime, un vieux serveur de base de données, et une politique de mise à jour que personne n’a revue depuis des années.

C’est pourquoi la liste est lue par deux sortes de chercheurs. Les équipes de sécurité et de surface d’attaque veulent savoir si une interface d’administration est exposée sur l’un des domaines dont elles ont la charge, ou sur le domaine d’un prestataire dont elles dépendent. Les fournisseurs d’hébergement et d’infrastructure veulent l’image inversée de cette vue, à savoir quels prestataires livrent encore cet outil à leurs clients et donc où un argumentaire de migration porterait. Chacune de ces lectures a besoin de la population entière d’un coup plutôt que d’une réponse par oui ou par non sur une seule adresse.

Une requête unique ne produit ni l’une ni l’autre de ces vues. Vous pouvez vérifier un domaine, apprendre qu’il expose un panneau d’administration de base de données, et confirmer un soupçon que vous aviez déjà. Le dataset téléchargeable répond à la question qu’aucune requête ne sait formuler, celle de savoir où cela apparaît encore, qui exploite ces hôtes, et ce que les instances exposées ont en commun. Pour un constat de cette forme, cette inversion est toute la valeur de la liste.