Scaricare i siti web che utilizzano mod_fastcgi

Informazioni su mod_fastcgi

Quasi tutto ciò che oggi fa funzionare il web è più giovane di mod_fastcgi. Il modulo risale al 1996, è stato scritto in C per un server che all’epoca era anch’esso nuovo, e rispondeva a un problema che oggi non sembra più urgente. Il CGI classico avviava un processo nuovo per ogni richiesta, e con un traffico reale il costo della creazione dei processi sovrastava il lavoro vero e proprio. Il modulo mod_fastcgi manteneva invece in vita i processi applicativi tra una richiesta e l’altra e passava loro il lavoro attraverso un socket.

L’idea ha vinto su tutta la linea. L’implementazione specifica no. Moduli successivi e gestori di processi dedicati hanno assunto lo stesso compito con un controllo dei processi migliore e una configurazione più pulita, e un’installazione moderna di PHP o Python ricorre a uno di questi senza pensarci due volte. Trovare a ottobre 2026 su un server attivo proprio questo modulo, che rientra nella categoria Web server extensions, dice quindi meno sull’ingegneria delle prestazioni e più sull’età.

A ottobre 2026 registriamo mod_fastcgi su 13.887 siti con 7 versioni diverse, e la versione 2.4.6 è quella che vediamo più spesso di qualsiasi altra. Il ventaglio ristretto di versioni è già di per sé informativo. Lo sviluppo si è di fatto fermato, per cui la release presente su una macchina è un fossile dell’immagine di distribuzione da cui è stata installata, non la prova di una manutenzione. I moduli lato server hanno una tenacia che il codice front end non ha. Nessuno rimuove un modulo che funziona, e un fornitore di hosting con una lunga coda di vecchi account lo terrà caricato per le poche applicazioni che ne dipendono ancora.

Per un ricercatore di sicurezza o un fornitore di infrastruttura, un elenco di siti ancora serviti da questo modulo è un elenco di stack che nessuno tocca da molto tempo. I vecchi moduli server viaggiano in compagnia: si accompagnano a vecchi runtime di linguaggio, vecchie configurazioni TLS, vecchi pannelli di controllo, vecchie versioni di sistemi operativi ormai fuori dal periodo di supporto. Per una società di hosting lo stesso elenco è un mercato di migrazione con un argomento di vendita chiaro. Per un team di conformità o di gestione della catena di fornitura è un modo per verificare se l’infrastruttura pubblicamente visibile di un fornitore corrisponde a ciò che il fornitore dichiara di usare.

Qui l’onestà sul metodo di rilevamento conta più che per una libreria lato browser. Apache non è obbligato ad annunciare quali moduli carica, e un’installazione ben configurata non lo fa, per cui l’identificazione si basa su firme nelle risposte e su tracce di configurazione che filtrano nelle intestazioni, nelle pagine di errore e nei percorsi predefiniti. Il risultato è una sottostima, a volte pesante. Una presenza confermata è significativa e permette di agire. Il silenzio non prova che il server sia pulito, prova solo che il server non ha parlato, e qualsiasi ricerca costruita su questa popolazione andrebbe presentata come un campione del visibile, non come un censimento dell’installato.