Scaricare i siti web che utilizzano phpPgAdmin

Informazioni su phpPgAdmin

Un pannello di amministrazione di database non dovrebbe affatto essere individuabile dall’esterno. phpPgAdmin esiste per dare a un gestore una finestra nel browser su un server PostgreSQL, per esplorare gli schemi, eseguire query, modificare i ruoli e fare il dump delle tabelle. Ognuna di queste azioni va tenuta dietro una VPN o un bastion host, quindi una scansione che trova la schermata di login su un indirizzo pubblico ha trovato qualcosa che il gestore probabilmente non intendeva pubblicare.

A ottobre 2026 vediamo phpPgAdmin su 20 siti. Un conteggio così basso dice meno su quanto lo strumento venga usato che su quanto raramente sia raggiungibile. Molte installazioni si trovano su hostname interni, su una porta che nessuno scansiona o dietro un proxy di autenticazione che non restituisce nulla che un crawler possa riconoscere. Il nostro dato è una stima per difetto costruita sulle istanze che rispondono a un indirizzo web pubblico, e le istanze che rispondono pubblicamente sono esattamente quelle interessanti.

Il software in sé è vecchio per gli standard del web. Secondo la nostra scheda, lo strumento phpPgAdmin risale al 2001, è distribuito con licenza GPL v2 ed è scritto in PHP, e appartiene all’epoca in cui i pannelli di controllo degli hosting condivisi includevano di serie un client web per database e l’accesso da riga di comando era una funzione a pagamento. Nulla delle sue origini rende di per sé lo strumento insicuro. Il software di quell’epoca, però, tende a trovarsi accanto ad altro software della stessa epoca, e un hosting che offre ancora questo pannello ai clienti è spesso un hosting che usa ancora un runtime vecchio, un server di database vecchio e una politica di aggiornamento che nessuno rivede da anni.

Per questo l’elenco viene letto da due tipi di ricercatori. I team di sicurezza e di gestione della superficie di attacco vogliono sapere se un’interfaccia amministrativa è esposta su uno qualsiasi dei domini di cui sono responsabili, o sul dominio di un fornitore da cui dipendono. I fornitori di hosting e infrastruttura vogliono la prospettiva speculare, cioè quali provider forniscono ancora questo strumento ai clienti e quindi dove una proposta di migrazione andrebbe a segno. Ogni lettura richiede l’intera popolazione in una volta sola, non una risposta sì o no su un singolo indirizzo.

Una verifica puntuale non può produrre nessuna delle due prospettive. Si può controllare un dominio, scoprire che espone un pannello di amministrazione del database e confermare un sospetto che si aveva già. L’insieme scaricabile risponde alla domanda che nessuna verifica puntuale sa formulare, cioè in quali altri luoghi compare lo strumento, chi gestisce quegli host e che cosa hanno in comune le istanze esposte. Per un rilievo di questo tipo, è questa inversione a costituire l’intero valore dell’elenco.