Descarregar sites que utilizam Kohana

Sobre Kohana

O Kohana é uma framework PHP cujas origens remontam a 2007, e quase tudo o que há de interessante nos sites que ainda o correm decorre dessa data. O desenvolvimento público parou há anos, por isso uma impressão digital do Kohana hoje raramente marca uma decisão tecnológica que alguém tenha tomado recentemente. O que marca é uma base de código que foi escrita uma vez, posta em produção e nunca migrada.

A evidência de versões sustenta essa leitura. Em toda a população detetada registamos 3 versões distintas, agrupadas em torno de 3.3.6, o que é uma distribuição notavelmente restrita para uma framework com esta idade. Os projetos vivos espalham-se por várias versões porque as equipas atualizam a velocidades diferentes e por razões diferentes. Uma população congelada converge, porque nada se mexe de todo, e o que observamos aqui está muito mais perto do segundo padrão do que do primeiro. Em outubro de 2026 detetamos o Kohana em 134 sites.

Uma framework PHP sem manutenção carrega um significado específico para quem faz trabalho de segurança ou de auditoria prévia. As fragilidades recém-descobertas na própria framework não vão ser corrigidas a montante, e qualquer correção tem de ser escrita por quem é dono da aplicação, partindo do princípio de que alguém ainda o é. Os fornecedores de alojamento herdam essa exposição de clientes que se esqueceram de que o site existe. Os compradores herdam-na de empresas-alvo cuja história de engenharia ninguém documentou. Nos dois casos o artefacto útil não é uma resposta de sim ou não sobre um domínio, porque a exposição é uma questão de carteira e precisa de uma resposta à dimensão da carteira.

A leitura comercial é a imagem ao espelho da leitura de segurança. Um site sobre uma framework descontinuada é um candidato a migração, e a migração é cara o suficiente para que as agências e os fornecedores de plataformas paguem por uma lista qualificada deles. Como a framework foi distribuída com licença BSD, nunca ninguém teve de se registar para a usar, por isso não há lista de clientes de um fornecedor para adquirir nem registo de descarregamentos para consultar. Um rastreio de sites ativos é a única forma de ver sequer a população, e é a única forma de assistir a essa população a encolher à medida que os sites são reconstruídos ou desativados.

A deteção tem limites reais que vale a pena nomear. Reconhecemos o Kohana por cookies específicos da framework, assinaturas de páginas de erro, comportamento de cabeçalhos e caminhos públicos que sobrevivem até às instalações de produção. Uma aplicação que renomeou o cookie de sessão, suprimiu a saída de erro e fica atrás de uma cache pode correr esta framework de forma invisível, o que é comum precisamente nas instalações mais antigas e cuidadosamente protegidas por firewall onde ela costuma residir. A nossa contagem deve ler-se como a parte da população ainda visível a partir de fora e não como a sua totalidade, e para uma framework nesta condição o remanescente invisível é provavelmente substancial.