Scaricare i siti web che utilizzano Kohana

Informazioni su Kohana

Kohana è un framework PHP le cui origini risalgono al 2007, e quasi tutto ciò che c’è di interessante nei siti che lo usano ancora discende da quella data. Lo sviluppo pubblico si è fermato anni fa, quindi oggi un’impronta di Kohana segnala raramente una scelta tecnologica fatta di recente da qualcuno. Segnala piuttosto un codice scritto una volta, messo in produzione e mai migrato.

I dati di versione sostengono questa lettura. Sull’intera popolazione rilevata registriamo 4 versioni distinte, raccolte attorno alla versione 3.3.6, il che rappresenta una distribuzione notevolmente stretta per un framework di questa età. I progetti attivi si distribuiscono su molte release perché i team aggiornano a velocità diverse e per ragioni diverse. Una popolazione congelata invece converge, dato che non si muove assolutamente nulla, e ciò che osserviamo qui è molto più vicino al secondo schema che al primo. A ottobre 2026 rileviamo Kohana su 405 siti.

Un framework PHP non più mantenuto ha un significato preciso per chi si occupa di sicurezza o di due diligence. Le vulnerabilità scoperte di recente nel framework stesso non verranno corrette a monte, e qualsiasi correzione deve essere scritta da chi possiede l’applicazione, ammesso che qualcuno la possieda ancora. I provider di hosting ereditano questa esposizione dai clienti che hanno dimenticato l’esistenza del sito. Gli acquirenti la ereditano dalle aziende acquisite la cui storia tecnica nessuno ha documentato. In entrambi i casi lo strumento utile non è un sì o un no su un singolo dominio, perché l’esposizione è una questione di portafoglio e richiede una risposta delle dimensioni di un portafoglio.

La lettura commerciale è l’immagine speculare di quella sulla sicurezza. Un sito costruito su un framework dismesso è un candidato alla migrazione, e la migrazione è abbastanza costosa da indurre agenzie e fornitori di piattaforme a pagare per un elenco qualificato di questi siti. Poiché il framework è stato distribuito con licenza BSD, nessuno ha mai dovuto registrarsi per usarlo, quindi non esiste un elenco clienti del fornitore da acquisire né un registro dei download da consultare. Senza una scansione dei siti attivi la popolazione non si vede affatto, ed è solo con una scansione che la si può osservare mentre si riduce, man mano che i siti vengono ricostruiti o dismessi.

Il rilevamento ha limiti reali che vale la pena dichiarare. Riconosciamo Kohana dai cookie specifici del framework, dalle firme delle pagine di errore, dal comportamento delle intestazioni e dai percorsi pubblici che sopravvivono nelle installazioni in produzione. Un’applicazione che ha rinominato il proprio cookie di sessione, ha soppresso l’output degli errori e si trova dietro una cache può far girare questo framework senza lasciarlo vedere, cosa frequente proprio nelle installazioni più vecchie e protette con cura da firewall, in cui tende a trovarsi. Il nostro conteggio va letto come la parte della popolazione ancora visibile dall’esterno, non come la sua totalità, e per un framework in queste condizioni la parte invisibile è probabilmente consistente.