Descarregar sites que utilizam HHVM

Sobre HHVM

A Meta construiu o HHVM para resolver um problema que entretanto se resolveu sozinho. A base de código PHP do Facebook tinha crescido para além do interpretador que a executava, por isso a empresa escreveu em C++ uma máquina virtual que compilava o mesmo código no momento da execução e o corria muito mais depressa. Lançado publicamente em 2013, o HHVM oferecia aos operadores de PHP com muito tráfego uma forma de comprar desempenho sem reescrever as aplicações, e durante algum tempo foi uma opção séria para quem tinha o estrangulamento no próprio motor da linguagem.

Depois o próprio projeto PHP fechou grande parte da distância dentro do seu motor, e o argumento a favor de uma máquina virtual separada perdeu força. A direção do HHVM deslocou-se para Hack, a linguagem tipada que a Meta desenhou para correr sobre ele, e afastou-se da compatibilidade com o PHP corrente. O que detetamos hoje é sobretudo o que essa história deixou para trás, e não uma tendência de migração ativa.

Em outubro de 2026 vemos HHVM em 46 sites, e a forma dos dados de versão diz mais do que a contagem. Registamos 17 versões distintas no conjunto, sendo 3.10.1 a que se repete mais do que qualquer outra compilação nos nossos dados. Um motor de execução com uma dispersão tão ampla, encabeçada por uma versão da época anterior à separação do PHP, não é um motor que as pessoas estejam a atualizar de forma ativa. Cada instalação é um servidor que alguém montou e afinou, e em que depois deixou de mexer.

Encontrar este motor de execução num site diz algo bastante concreto sobre quem o opera. Alguém ali se preocupou o suficiente com a latência dos pedidos para substituir o motor padrão, o que implica tráfego real, competência interna de operações e uma base de código suficientemente antiga para ser anterior à correção. Saber se essa competência continua na empresa é outra questão, e a distribuição de versões sugere que em muitos casos já não está. O motor é também um detalhe de instalação e não uma escolha de produto, por isso os alojamentos geridos e os fornecedores de plataforma explicam parte do que contamos, sem que o dono do site saiba qual o motor que serve o pedido.

A deteção é indireta e fica aquém da realidade. Um motor de execução identifica-se nos cabeçalhos de resposta ou nas mensagens de erro apenas quando quem o opera deixa isso exposto, e desaparece no momento em que um proxy retira o cabeçalho ou uma cache fica à frente da origem. O nosso número é, por isso, um limite inferior das instalações e um limite bastante mais baixo do tráfego, porque um site com muito movimento atrás de uma rede de distribuição de conteúdos pode ficar invisível enquanto um site calmo anuncia a sua compilação em cada pedido.

Quem procura esta lista são consultoras de migração, empresas de PHP e investigadores de segurança. O código é distribuído sob a PHP License, por isso está aberto ao estudo e os modos de falha estão documentados, e a nossa classificação na categoria Web servers coloca o achado na camada de infraestrutura e não na pilha de marketing, e é nessa camada que o trabalho de remediação e de modernização se vende de facto. Uma consulta domínio a domínio pode confirmar uma suspeita sobre um servidor concreto. Só a exportação completa responde a quem continua a correr em produção um motor de execução sem manutenção, o que mais esses operadores têm em comum e com que rapidez o grupo está a encolher.