Statistik: Die meisten Apache-Server verwenden veraltete Versionen

Netcraft hat Zahlen zur Nutzung von Webserver-Software vorgelegt. Demnach kommt Apache weiterhin auf mehr als 50 Prozent aller Server zum Einsatz, allerdings häufig in veralteten Versionen – auch solchen, die gar nicht mehr unterstützt werden und entsprechend anfällig sein können.

Der jüngste Stable Release von Apache ist 2.4.7 vom 25. November 2013. Auf diese Version stieß Netcraft aber nur in den seltensten Fällen, obwohl Apache dazu auffordert: Der gesamte Versionszweig 2.4 kommt auf unter ein Prozent. Die verbreitetste Version ist der Zweig 2.2, der zuletzt am 18. November 2013 auf 2.2.26 gebracht wurde: Als „Legacy Release“ wird auch er noch unterstützt. Die verbreitetste Apache-Version überhaupt ist jedoch 2.2.22, auf der über 36 Millionen Websites basieren.

Sechs Millionen Websites weltweit verwenden noch das ernsthaft veraltete Apache 1.3. Die beliebteste einzelne Website mit dieser Software ist Weather Underground, die Apache 1.3.42 verwendet. Sie liegt in den USA an 172. Stelle des Alexa-Rankings (zum Vergleich: ZDNet.com liegt in den USA an 937., ZDNet.de in Deutschland an 942. Stelle) und weltweit an 615. Position.

Netcraft weist darauf hin, dass mehr als die Hälfte aller Apache-Sites ihre Versionsnummer geheimhält. Durch Tests lässt sie sich aber oft doch ermitteln. Auch genügt die Versionsnummer allein nicht, um herauszufinden, ob ein Server eine bestimmte Schwachstelle aufweist. Manche Linux-Distributionen – etwa Red Hat Enterprise Linux – wenden Fixes für spätere Apache-Versionen nach Möglichkeit auch auf frühere an.

Der Grund für die große Verbreitung von Apache 2.2 ist denn auch die Verteilung mit Linux-Distributionen wie eben Red Hat, wo Apache 2.4 noch nicht angekommen ist. Selbst Sites von Organisationen aus dem Sicherheitsbereich setzen noch den Legacy Release ein – etwa OpenSSL.org, das Apache 2.2.22 auf Ubuntu-Linux nutzt.

[mit Material von Larry Seltzer, ZDNet.com]

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.