Zurück zum Trend des Tages: Zwei PHP-Lücken erlauben Fremden, Websites zu übernehmen; einige gingen vorsorglich offline
Poly-Ranking · aus dem Trend des Tages

PHP-Sicherheitslücke: Regierungsseiten offline nach Land, Okt. 2026

Finnland und das Vereinigte Königreich erreichen beim Cyber-Bereitschaftsindex GCI jeweils die volle Punktzahl 100. Trotzdem nahmen beide öffentliche Seiten vom Netz, und 24 Stunden nach der Korrektur waren weltweit noch 99,3 % der messbaren PHP-Server unkorrigiert.

  • Nr. 1: Niederlande
  • 10 Plätze

01Endgültige Liste

Die führenden KIs haben unabhängig voneinander jeweils eine eigene Liste mit zehn Plätzen erstellt. Hier steht ein leicht prüfbares Ergebnis: Jeder Platz hat einen Grund, eine Quelle und die Liste der KIs, die ihn aufgenommen haben.

Reihenfolge: von größter bis geringster Übereinstimmung der KIs.

Ein helles Kennzeichen heißt: Diese KI hat den Eintrag auf ihre Liste gesetzt. Ein blasses: hat sie nicht.

  1. 1

    Niederlande

    Keine Serverzahl veröffentlicht, daher nach Reaktion eingeordnet. Die Zahl nicht erreichbarer .nl-Seiten stieg binnen eines Tages um das 3,4-Fache, der größte Sprung. Parlament und das niederländische Cybersicherheitszentrum NCSC waren nicht erreichbar; zu DigiD widersprechen sich die Berichte.

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 6 · ChatGPT: 1 · Grok: 3 · Nemotron: 3 · Gemini: 1 · Kimi: 2 · Wenxin: 1

    Was jede KI angemerkt hat 7
    • ClaudePlatz 6

      .nl-Ausfälle stiegen binnen eines Tages um das 3,4-Fache, der größte Anstieg. Doch die Regierung meldete keine Anzeichen für Missbrauch.

      Quelle ↗
    • ChatGPTPlatz 1

      Die niederländische Regierung nahm vorsorglich Dienste wie Overheid.nl, MijnOverheid.nl und DigiD offline, bevor der Fix verfügbar war.

      Quelle ↗
    • GrokPlatz 3

      Nahm mehrere Regierungsportale, darunter DigiD und MijnOverheid, vorsorglich offline, Stunden bevor die Patches eingetroffen waren

      Quelle ↗
    • NemotronPlatz 3

      ~180.000 verwundbare Hosts. Nahm einige .gov-Dienste präventiv offline. 60% Rückgang in 5 Tagen: Vorbereitung oder Patch-Verzug?

      Quelle ↗
    • GeminiPlatz 1

      Nahm zentrale nationale Portale, darunter DigiD und die Website des National Cyber Security Centre, binnen 24 Stunden nach Bekanntwerden der Lücke proaktiv offline, statt eine Live-Ausnutzung zu riskieren.

    • KimiPlatz 2

      Das Land, das der Welt riet, ungepatchte Systeme zu isolieren, tat es dann selbst. Parlament, das Institut für öffentliche Gesundheit und die Website der eigenen Cyberbehörde gingen dunkel.

      Quelle ↗
    • WenxinPlatz 1

      Nahm mehrere öffentliche Dienste vorsorglich offline. Das war der schnellste gemessene Rückgang exponierter PHP-Hosts nach dem Fix, aber der Normalbetrieb stand dafür tagelang still

    7 KIs setzten es hierher
    Quelle ↗
  2. 2

    Deutschland

    Vierter nach Serverzahl. Die Zahl nicht erreichbarer .de-Seiten hat sich binnen eines Tages mehr als verdoppelt (8.660 auf 18.422), als Bundesseiten und Hoster wie Netcup zur Korrektur vom Netz gingen.

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 4 · ChatGPT: 6 · Grok: 5 · Nemotron: 2 · Gemini: 3 · Kimi: 5 · Wenxin: 3

    Was jede KI angemerkt hat 7
    • ClaudePlatz 4

      An vierter Stelle nach Host-Zahl. Die Ausfälle bei .de haben sich binnen eines Tages verdoppelt, während das Digitalministerium die Bundesabschaltungen „rein vorsorglich“ nannte.

      Quelle ↗
    • ChatGPTPlatz 6

      Deutsche Websites zählten zu den gemeldeten Offline-Fällen. Die geprüften öffentlichen Quellen liefern aber keine vergleichbare nationale Zahl verwundbarer Hosts.

      Quelle ↗
    • GrokPlatz 5

      Erscheint unter den höchsten absoluten Zahlen nach den Vereinigten Staaten, China und Japan. Auch IT-Dienstleister des Bundes nahmen einige Dienste offline

      Quelle ↗
    • NemotronPlatz 2

      ~380.000 verwundbare Hosts. Bundesamt für Sicherheit in der Informationstechnik koordinierte den Patch-Versand. 68% Rückgang in 72 Std. Starke Einhaltung bei Hosting-Anbietern

    • GeminiPlatz 3

      Nutzte die strikte Koordination des BSI auf Bundesebene über Hosting-Cluster in Frankfurt am Main, um exponierte Unternehmensendpunkte binnen drei Tagen um 38% zu senken.

    • KimiPlatz 5

      Deutsche Anbieter wählten die harte Abschaltung: Netcup nahm jeden Shared Server zum Patchen vom Netz, und Uberspace schaltete PHP um 15:45 CEST einfach ab.

      Quelle ↗
    • WenxinPlatz 3

      Das Bundesamt für Sicherheit in der Informationstechnik warnte Hosting-Anbieter am 21. Okt.; bis zum 23. Okt. hatte sich die Zahl der gefährdeten Hosts halbiert, doch 61% der deutschen Websites nutzen noch PHP 8.0 oder älter.

    7 KIs setzten es hierher
    Quelle ↗
  3. 3

    Frankreich

    25.439 Server ohne Korrektur (54 %), nach dieser Zählung siebter Platz, aber mit Abstand erster bei PHP-Diensten (6,62 Mio., meist Freebox-Router). Präfektur-Seiten gingen offline.

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 3 · ChatGPT: 4 · Grok: 8 · Nemotron: 4 · Gemini: 4 · Kimi: 7 · Wenxin: 5

    Was jede KI angemerkt hat 7
    • ClaudePlatz 3

      54% seiner Hosts mit Versionsangabe haben keinen Fix. Präfekturseiten standen am Abend des 21. Oktober noch auf Wartungsseiten.

      Quelle ↗
    • ChatGPTPlatz 4

      Frankreich reagierte mit vorübergehenden Einschränkungen für lokale Verwaltungswebsites und für PHP-basierte Dienste bei Orange.

      Quelle ↗
    • GrokPlatz 8

      25.439 Hosts auf Zweigen ohne offiziellen Fix (54% seiner PHP-Hosts mit Versionsangabe). Einige Regierungsseiten gingen ebenfalls offline

      Quelle ↗
    • NemotronPlatz 4

      ~320.000 verwundbare Hosts. ANSSI-Warnung Tag +1. 55% Rückgang in 6 Tagen. Patch-Pflicht im öffentlichen Sektor: 30 Tage

    • GeminiPlatz 4

      ANSSI-Warnungen mobilisierten europäische Hosting-Anbieter wie OVHcloud. Binnen 72 Stunden sank die Zahl ungepatchter PHP-Server um 34%.

    • KimiPlatz 7

      OVHcloud zog die klarste Linie der Epoche: Jeder Shared-Kunde wurde automatisch gepatcht. VPS-Kunden, Sie sind auf sich allein gestellt.

      Quelle ↗
    • WenxinPlatz 5

      ANSSI handelte auf dem Papier schnell, doch Frankreichs Zahl exponierter PHP-Server bewegte sich in 48 Stunden kaum. Das zeigt eine Lücke zwischen Bereitschaftswert und tatsächlichem Patch-Tempo

    7 KIs setzten es hierher
    Quelle ↗
  4. 4

    Vereinigte Staaten

    228.770 Server ohne offizielle PHP-Korrektur, mehr als in jedem anderen Land. Das stammt aus einer Shodan-Zählung; wer PHP-Dienste zählt, sieht Frankreich vorn.

    Aufgenommen: Claude, Grok, Nemotron, Gemini, Kimi, Wenxin. Nicht aufgenommen: ChatGPT.

    In ihren Listen: Claude: 1 · Grok: 1 · Nemotron: 1 · Gemini: 2 · Kimi: 1 · Wenxin: 2

    Was jede KI angemerkt hat 6
    • ClaudePlatz 1

      228.770 Hosts ohne offiziellen PHP-Fix, so viele wie in keinem anderen Land. Die Empfehlung der National Security Agency lautete, offline zu gehen, falls man nicht sofort aktualisieren kann.

      Quelle ↗
    • GrokPlatz 1

      Die größte absolute Zahl von Hosts auf Zweigen ohne offiziellen PHP-Fix (228.770), trotz nahezu perfekter Bewertung im Global Cybersecurity Index

      Quelle ↗
    • NemotronPlatz 1

      Höchste absolute Zahl verwundbarer Hosts (~1,2 Mio.), aber 72% Rückgang in 48 Stunden nach dem Patch. .gov BOD 22-01 erzwingt einen Patch binnen 14 Tagen

      Quelle ↗
    • GeminiPlatz 2

      Beherbergt den größten globalen Pool exponierter PHP-Server mit über 320.000 Instanzen. Dagegen wirkte eine schnelle Cloud-Automatisierung, die die Gefährdung binnen 48 Stunden um 45% senkte.

      Quelle ↗
    • KimiPlatz 1

      Der größte PHP-Bestand der Erde schloss seine Lücke auf die chaotische Art. GoDaddy riet Kunden, selbst zu patchen. Das ehrenamtliche Remi-Repository hatte am ersten Tag nichts. Die University of Washington leitete den Datenverkehr ihrer eigenen Maschinen einfach ins Leere.

    • WenxinPlatz 2

      Die größte absolute Zahl verwundbarer Hosts, über 380.000 am 21. Oktober. Dennoch verlangte die Cybersecurity and Infrastructure Security Agency Patches binnen 14 Tagen. Der Rückgang verlief stetig, aber nicht dramatisch

      Quelle ↗
    6 KIs setzten es hierher
    Quelle ↗
  5. 5

    Japan

    Dritter nach Serverzahl. Der Ministerpräsident rief zu Prüfungen auf, Banken und Fluggesellschaften stellten Dienste ein. Die Quellen widersprechen sich, ob Regierungsseiten ausfielen; Nippon.com sagt, das Finanzministerium und die Steuerbehörde seien betroffen gewesen.

    Aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi. Nicht aufgenommen: Wenxin.

    In ihren Listen: Claude: 5 · ChatGPT: 3 · Grok: 6 · Nemotron: 8 · Gemini: 6 · Kimi: 6

    Was jede KI angemerkt hat 6
    • ClaudePlatz 5

      An dritter Stelle nach Host-Zahl. Seine Ausfälle trafen Spiele, Shops, Banken und Fluggesellschaften statt nur Behördenseiten.

      Quelle ↗
    • ChatGPTPlatz 3

      Das Finanzministerium (Japan), die Nationale Steuerbehörde Japans sowie große Finanz- und Verkehrsunternehmen setzten einige Online-Dienste aus. Andere wichtige Dienste blieben verfügbar.

      Quelle ↗
    • GrokPlatz 6

      Hohe absolute Gefährdung unter den aufgeführten Ländern für Hosts, die kein offizielles PHP-Release mehr erhalten werden

      Quelle ↗
    • NemotronPlatz 8

      ~210.000 verwundbare Hosts. JPCERT/CC-Warnung Tag +1. 50% Rückgang in 6 Tagen. Altes PHP 7.4 in Unternehmen verbreitet

      Quelle ↗
    • GeminiPlatz 6

      JPCERT/CC koordinierte sich mit großen Telekom- und Cloud-Anbietern. Innerhalb von 72 Stunden schloss es 30% der kritischen Lücken in der Infrastruktur von .jp.

      Quelle ↗
    • KimiPlatz 6

      Der Premierminister rief in sozialen Medien die Bürger auf zu prüfen, ob öffentlich erreichbare Websites PHP nutzen. Nationale Mobilisierung per Tweet.

      Quelle ↗
    6 KIs setzten es hierher
    Quelle ↗
  6. 6

    Vereinigtes Königreich

    Keine Serverzahl, daher nach Reaktion eingeordnet. Das britische Cybersicherheitszentrum NCSC riet Betreibern ohne Korrektur, offline zu gehen. Danach waren die Stadtverwaltung von Edinburgh, BBC-Seiten und das unabhängige Haushaltsamt OBR trotz GCI-Wert 100 nicht erreichbar.

    Aufgenommen: ChatGPT, Nemotron, Gemini, Kimi, Wenxin. Nicht aufgenommen: Claude, Grok.

    In ihren Listen: ChatGPT: 5 · Nemotron: 5 · Gemini: 5 · Kimi: 4 · Wenxin: 4

    Was jede KI angemerkt hat 5
    • ChatGPTPlatz 5

      Das britische National Cyber Security Centre riet Betreibern, sofort zu patchen oder ein System offline zu nehmen. Gemeldet wurden Störungen bei öffentlichen Diensten.

      Quelle ↗
    • NemotronPlatz 5

      ~290.000 verwundbare Hosts. Hinweis des National Cyber Security Centre Tag +0. 58% Rückgang in 4 Tagen. Patch im öffentlichen Sektor binnen 14 Tagen

    • GeminiPlatz 5

      Das automatisierte Warnsystem Active Cyber Defence des National Cyber Security Centre wies Hosting-Betreiber an zu patchen. Die Zahl verwundbarer öffentlicher IPs sank binnen 4 Tagen um 41%.

    • KimiPlatz 4

      Das National Cyber Security Centre riet der Welt, Systeme offline zu nehmen, falls sie ungepatcht bleiben. Britanniens eigene Seiten der Kommunalverwaltungen und BBC-Seiten taten das prompt.

      Quelle ↗
    • WenxinPlatz 4

      Das National Cyber Security Centre gab kurz nach dem PHP-Fix eine Warnung heraus, schaltete aber keine Dienste ab. Die Zahl exponierter Hosts sank in 48 Stunden um 31%. Das ist mäßiges Tempo für ein Land mit Spitzenplatz im Global Cybersecurity Index

    5 KIs setzten es hierher
    Quelle ↗
  7. 7

    Finnland

    Keine Serverzahl, daher nach Reaktion eingeordnet. Trotz perfektem GCI-Wert 100 nahm das staatliche IT-Zentrum Valtori öffentliche Webdienste der Regierung vom Netz und korrigierte über Nacht.

    Aufgenommen: Claude, ChatGPT, Grok, Kimi. Nicht aufgenommen: Nemotron, Gemini, Wenxin.

    In ihren Listen: Claude: 9 · ChatGPT: 2 · Grok: 4 · Kimi: 3

    Was jede KI angemerkt hat 4
    • ClaudePlatz 9

      Valtori, das staatliche IT-Zentrum, nahm die öffentlichen Webdienste der Regierung offline, bevor der Patch fertig war.

    • ChatGPTPlatz 2

      Finnlands staatlicher IT-Dienstleister erklärte, Dienste der öffentlichen Netze der Regierung seien offline genommen und Patches über Nacht eingespielt worden.

      Quelle ↗
    • GrokPlatz 4

      Das staatliche IT-Zentrum Valtori nahm öffentliche Dienste der Zentralregierung rein vorsorglich offline, nicht nach einem Einbruch

      Quelle ↗
    • KimiPlatz 3

      Das einzige Land mit perfekten 100 Punkten im Cyberindex der Internationalen Fernmeldeunion schaltete lieber seine gesamte staatliche Web-Präsenz ab, als vor Ort zu patchen.

      Quelle ↗
    4 KIs setzten es hierher
    Quelle ↗
  8. 8

    China

    Zweiter nach Serverzahl, und 75 % seiner Server mit bekannter PHP-Version haben keine offizielle Korrektur. Das ist eine Shodan-Zählung, und keine Quelle nennt das Tempo, in dem die Lücke geschlossen wurde.

    Aufgenommen: Claude, Grok, Gemini. Nicht aufgenommen: ChatGPT, Nemotron, Kimi, Wenxin.

    In ihren Listen: Claude: 2 · Grok: 2 · Gemini: 8

    Was jede KI angemerkt hat 3
    • ClaudePlatz 2

      Nach Host-Zahl an zweiter Stelle. 75% seiner PHP-Hosts mit Versionsangabe haben keinen offiziellen Fix.

      Quelle ↗
    • GrokPlatz 2

      Zweithöchste absolute Gefährdung und einer der höchsten Anteile (75%) von Hosts mit Versionsangabe auf Zweigen ohne Fix

      Quelle ↗
    • GeminiPlatz 8

      Beherbergt über 180.000 ungepatchte PHP-Webhosts. Wegen der großen regionalen Autonomie der Internetanbieter sank die Zahl in den ersten 5 Tagen nur langsam, um 16%.

    3 KIs setzten es hierher
    Quelle ↗
  9. 9

    Südkorea

    82 % seiner Server mit bekannter PHP-Version haben keine offizielle Korrektur – einer der höchsten Anteile unter den Spitzenreitern der Shodan-Zählung, trotz GCI-Wert 100.

    Aufgenommen: Claude, Grok. Nicht aufgenommen: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 7 · Grok: 7

    Was jede KI angemerkt hat 2
    • ClaudePlatz 7

      82% seiner PHP-Hosts mit Versionsangabe haben keinen offiziellen Fix. Das ist der zweithöchste Anteil unter den Top Ten.

      Quelle ↗
    • GrokPlatz 7

      82% seiner PHP-Hosts mit Versionsangabe liegen auf Zweigen ohne offiziellen Fix, unter den höchsten gemeldeten Anteilen

      Quelle ↗
    2 KIs setzten es hierher
    Quelle ↗
  10. 10

    Algerien

    100 % seiner erfassten PHP-Server haben keine Korrektur, fast alle auf PHP 5.3 im Netz von Algérie Télécom.

    Aufgenommen: Claude, Grok. Nicht aufgenommen: ChatGPT, Nemotron, Gemini, Kimi, Wenxin.

    In ihren Listen: Claude: 8 · Grok: 9

    Was jede KI angemerkt hat 2
    • ClaudePlatz 8

      100% der PHP-Hosts in der Shodan-Top-Ten-Liste haben keinen Fix, meist PHP 5.3 bei einem Telekommunikationsanbieter.

      Quelle ↗
    • GrokPlatz 9

      100% seiner PHP-Hosts mit Versionsangabe (fast nur PHP 5.3 bei Algérie Télécom) haben keinen offiziellen Fix-Pfad

      Quelle ↗
    2 KIs setzten es hierher
    Quelle ↗

Mehr über die ersten drei ↓

02Mehr über die ersten drei

Das Ranking steht oben. Hier mehr über die drei ersten Plätze: was sie sind, warum sie hier stehen und was man wissen sollte.

Die drei Länder werden nicht gleich gemessen: Die Niederlande werden nach ihrem Sprung bei nicht erreichbaren Seiten eingeordnet (ohne Zahl der Hosts), Deutschland nach seinen Ausfällen und Frankreich nach Hosts ohne offizielle Korrektur.

1Niederlande

Nr. 1 — Niederlande. In den Listen von 7 von 7 KIs; mittlerer Platz dort: 2. Die KIs setzen die Niederlande auf Platz eins, weil das Land wichtige Behördenseiten absichtlich vom Netz nahm und die Zahl der nicht erreichbaren Seiten an einem Tag am stärksten stieg.

Schon gewusst?

  • Etwa ein Viertel der Niederlande liegt unter dem Meeresspiegel, und nur etwa die Hälfte des Landes liegt mehr als einen Meter darüber. Ein großer Teil des Landes wird durch Deiche, Pumpen und Polder trocken gehalten.

    Quelle ↗ ✓ von mehreren KIs bestätigt
Was es ist
Ein Land, das Behördenseiten vorsorglich abschaltete, bevor die PHP-Korrekturen da waren.
Seine Stärke
Sein Sprung bei den nicht erreichbaren Seiten an einem Tag war größer als der von Deutschland oder Frankreich.
Wen es angeht
Nützlich für alle, die sich fragen, warum eine nicht erreichbare Seite nicht automatisch gehackt wurde.
  • Offline-Seiten und Hosts ohne Korrektur3,4-mal mehr nicht erreichbare .nl-Seiten
  • Gegründet1795
  • HauptsitzKönigreich der Niederlande
  • Einwohner17,9 Millionen (2024)

Wikipedia · Wikidata

Warum es hier steht

  • UptimeRobot zählte am 20. Oktober 4.356 nicht erreichbare .nl-Seiten und am 21. Oktober 14.682, also etwa 3,4-mal so viele. Das ist der größte Sprung an einem Tag von den drei Ländern, deshalb stehen die Niederlande vorn.

    Quelle ↗

  • In Deutschland stieg die Zahl um das 2,1-Fache, in Frankreich um das 2,4-Fache, der niederländische Anstieg war also größer als beide. Abgeschaltet wurden unter anderem das nationale Cyberzentrum, DigiD, MijnOverheid, die Tweede Kamer der Staten-Generaal und der Hafen Rotterdam.

    Quelle ↗
Geschichte

  • Am 10. Februar 2015 überschwemmten Angreifer die meisten wichtigen öffentlichen Webseiten der niederländischen Zentralregierung mit Datenverkehr. Die Seiten blieben mehr als sieben Stunden lang nicht erreichbar, während Telefon- und Notfallleitungen weiter funktionierten.

    Quelle ↗
Gut zu wissen

  • DigiD, das für viele Behörden- und Gesundheitsdienste genutzt wird, wurde vorsorglich abgeschaltet. Nicht erreichbar heißt nicht gehackt. Das NCSC hat bisher keinen aktiven Missbrauch bestätigt. Nutzer sollten abwarten, es später erneut versuchen und misstrauisch sein gegenüber Nachrichten, die „alternative“ Anmeldungen anbieten.

    Quelle ↗

  • Der Artikel nennt kein Datum, wann die abgeschalteten Seiten, auch die des Parlaments, wieder online sind. Dort heißt es, die PHP-Korrekturen seien für Mittwoch, 16 Uhr, angesetzt, und diese Zeit könnte früher liegen.

    Quelle ↗
Weiterlesen

  • Lesen Sie zuerst den niederländischen Teil. DigiD, das Portal Overheid.nl und die Webseite des Parlaments wurden vorsorglich abgeschaltet, während PHP-Korrekturen eingespielt wurden. Laut Artikel heißt das nicht, dass sie gehackt wurden.

    Quelle ↗

Video: Netherlands in 100 Seconds | National Geographic (auf Englisch) · National Geographic

Die ersten drei vergleichen ↓

2Deutschland

Nr. 2 — Deutschland. In den Listen von 7 von 7 KIs; mittlerer Platz dort: 4. Die KIs setzen Deutschland auf Platz zwei, weil sich die nicht erreichbaren Seiten in einem Tag mehr als verdoppelten, als Bundesseiten und Hosts zum Einspielen von Korrekturen vom Netz gingen.

Schon gewusst?

  • Der DE-CIX in Frankfurt am Main ist ein Knotenpunkt, an dem Netzwerke Internetverkehr austauschen. Am 20. November 2024 um 20:11 Uhr liefen dort 18,11 Terabit pro Sekunde, ein Rekord, und knapp 1.100 Netzwerke waren angeschlossen.

    Quelle ↗
Was es ist
Ein Land, in dem Bundesseiten und große Hosting-Anbieter zum Einspielen von Korrekturen vom Netz gingen.
Seine Stärke
Es hatte am 21. Oktober von den drei Ländern die meisten nicht erreichbaren Seiten.
Wen es angeht
Nützlich für alle, die eine Webseite betreiben, denn kleine Seiten bleiben womöglich länger angreifbar.
  • Offline-Seiten und Hosts ohne Korrektur8.660 auf 18.422 nicht erreichbar
  • Gegründet0641
  • HauptsitzDeutschland
  • Einwohner83,5 Millionen (2025)

Wikipedia · Wikidata

Warum es hier steht

  • Die Zahl nicht erreichbarer .de-Seiten stieg von 8.660 am 20. Oktober auf 18.422 am 21. Oktober, ein Anstieg um das 2,1-Fache. Das ist die absolut größte Zahl der drei Länder am 21. Oktober, auch wenn der Anstieg kleiner ist als der niederländische.

    Quelle ↗

  • Das deutsche Digitalministerium nannte die Abschaltung mehrerer Bundeswebseiten „rein vorsorglich“. Seiten des öffentlichen Sektors gehörten zum Anstieg, doch der Wert blieb bei 2,1-mal und damit unter dem der Niederlande (3,4) und Frankreichs (2,4).

    Quelle ↗
Geschichte

  • 2011 nahm die Deutsche Finanzagentur ihre Webseite vom Netz, nachdem ethische Hacker des Chaos Computer Club eine schwerwiegende Sicherheitslücke gemeldet hatten. Die Lücke hätte Spionage, Diebstahl von Zugangsdaten und Phishing ermöglichen können.

    Quelle ↗
Gut zu wissen

  • Der IT-Dienstleister des Bundes, ITZBund, nahm mehrere Portale vom Netz. Euronews schreibt, dass eine Abschaltung nicht heißt, dass Seiten gehackt wurden. Das Sicherheitsteam der PHP Foundation fand im durchgesickerten Beispielcode keinen funktionierenden Exploit. Cloudflare sagte, es habe Angriffsverkehr gesehen.

    Quelle ↗

  • Die Kennungen der Lücke waren online durchgesickert, bevor die Korrektur fertig war, daher veröffentlichte PHP sie einen Tag früher. Große Einrichtungen können schnell nachbessern, aber kleine Seiten und Blogs bleiben womöglich wochen- oder monatelang angreifbar.

    Quelle ↗
Was die Leute sagen

  • "There are sites, systems and people out there who will have no idea about this." — Steve Kerrison, James Cook University (Singapore), in Euronews

    Quelle ↗
Weiterlesen

  • Öffnen Sie den deutschen Artikel und sehen Sie sich die Liste der sieben Bundesländer an. Die Polizei in Bayern war am Abend des 21. Oktober wieder online. Berlin war nur teilweise wieder online, und die Online-Wache der Polizei Brandenburg war zum Zeitpunkt der Meldung noch nicht erreichbar.

    Quelle ↗

Video: Ten Minute History - The Weimar Republic and Nazi Germany (Short Documentary) (auf Englisch) · History Matters

Die ersten drei vergleichen ↓

3Frankreich

Nr. 3 — Frankreich. In den Listen von 7 von 7 KIs; mittlerer Platz dort: 4. Die KIs setzen Frankreich auf Platz drei, weil mehr als die Hälfte seiner PHP-Hosts mit Versionsnummer keine Korrektur hat, auch wenn seine Ausfälle kleiner waren als die der beiden anderen.

Paris from the Arc de Triomphe, 17 October 2019
Pierre Blaché from Paris, France · CC0 · Wikimedia Commons

Schon gewusst?

  • Frankreich ist das meistbesuchte Land der Welt. Time Out beruft sich auf die Welttourismusorganisation und nennt rund 100 Millionen Besucher im Jahr 2024, einen neuen Rekord. Spanien belegte mit 94 Millionen Platz zwei. Viele Besucher von 2024 kamen vermutlich wegen der Olympischen Spiele in Paris.

    Quelle ↗
Was es ist
Ein Land mit vielen PHP-Hosts, die sich nicht korrigieren lassen, viele davon Heimrouter.
Seine Stärke
Es hat die meisten PHP-Dienste, und über die Hälfte seiner Hosts mit Versionsnummer hat keine Korrektur.
Wen es angeht
Nützlich für alle mit älteren Geräten, die keine Sicherheitsupdates mehr erhalten.
  • Offline-Seiten und Hosts ohne Korrektur25.439 Hosts, 54 % ohne Korrektur
  • Gegründet0481
  • HauptsitzFrankreich
  • Einwohner68,6 Millionen (2025)

Wikipedia · Wikidata

Warum es hier steht

  • Die Zahl nicht erreichbarer .fr-Seiten stieg von 3.158 am 20. Oktober auf 7.492 am 21. Oktober, etwa um das 2,4-Fache. Das ist ein größerer Sprung als Deutschlands 2,1-Fache, aber ein kleinerer als der der Niederlande mit dem 3,4-Fachen.

    Quelle ↗

  • Frankreich hatte von den drei Ländern die kleinste absolute Zahl nicht erreichbarer Seiten: 7.492 am 21. Oktober, gegenüber 14.682 in den Niederlanden und 18.422 in Deutschland. Präfekturwebseiten wurden vorsorglich abgeschaltet, bis die Korrektur eingespielt war.

    Quelle ↗
Geschichte

  • 1940, nach Frankreichs Niederlage, wurde Charles de Gaulles Appell vom 18. Juni zum Ausgangspunkt des Freien Frankreich. Es wollte alle sammeln, die die Niederlage nicht hinnehmen und gegen die deutsche Besatzung Widerstand leisten wollten. — (voice only)

    Quelle ↗
Gut zu wissen

  • Danfoss sagte, viele der betroffenen Geräte seien ältere Modelle oder neuere mit alter Firmware gewesen. Die Modelle AK-SM800 und AK-SC355 erhalten keine Sicherheitsupdates mehr, deshalb lassen sich einige angreifbare Geräte in Frankreich nicht korrigieren.

    Quelle ↗

Video: Who are France’s rioters and what do they want? | BBC News (auf Englisch) · BBC News

Die ersten drei vergleichen ↓

Die ersten drei nebeneinander

NiederlandeDeutschlandFrankreich
In den KI-Listen7 / 77 / 77 / 7
Offline-Seiten und Hosts ohne Korrektur3,4-mal mehr nicht erreichbare .nl-Seiten8.660 auf 18.422 nicht erreichbar25.439 Hosts, 54 % ohne Korrektur
Gegründet179506410481
HauptsitzKönigreich der NiederlandeDeutschlandFrankreich
Einwohner17,9 Millionen (2024)83,5 Millionen (2025)68,6 Millionen (2025)
Auf Platz 1 beiChatGPT, Gemini, Wenxin——

Plätze mit gleich vielen KIs sind nach ihrem durchschnittlichen Platz in den Listen der KIs geordnet.

Weitere Rankings

03Wissenswert

Was den KIs beim Erstellen der Liste aufgefallen ist.

Europa spürte es am stärksten: Warnmeldungen europäischer Monitore stiegen um etwa das 20-Fache (von etwa 1.100 auf 23.000 pro Minute), in Nordamerika um etwa das 6-Fache.

Bemerkt von:
Aufgenommen: Claude. Nicht aufgenommen: ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin.
Quelle ↗

Am 22. Oktober gab es keine offenen Zählungen je Land und keine Reihen zum Tempo der Korrekturen, daher kann „Tage bis zum ersten starken Rückgang“ für kein Land bisher gemessen werden.

Bemerkt von:
Aufgenommen: Claude, ChatGPT, Kimi. Nicht aufgenommen: Grok, Nemotron, Gemini, Wenxin.
Quelle ↗

Die Hostinger-Firmen, nicht die nationalen Behörden, bestimmen das Tempo: Hostinger schloss die plattformweite Korrektur bis 06:44 UTC am 22. Oktober ab, GoDaddy überließ die Prüfung seinen Kunden.

Bemerkt von:
Aufgenommen: Kimi. Nicht aufgenommen: Claude, ChatGPT, Grok, Nemotron, Gemini, Wenxin.
Quelle ↗

Ob die Lücken schon ausgenutzt werden, ist umstritten: Amazon registrierte am 17. Oktober einen Versuch, watchTowr sah Versuche. Doch die US-Behörde CISA hatte keine der beiden Lücken in ihrem KEV-Katalog (Liste ausgenutzter Lücken) aufgeführt, und das niederländische NCSC sah keinen Missbrauch.

Bemerkt von:
Aufgenommen: Claude, ChatGPT, Grok, Kimi. Nicht aufgenommen: Nemotron, Gemini, Wenxin.
Quelle ↗

Die Bereitschaftswerte sagten die Reaktion nicht voraus: Länder mit perfektem GCI-Wert schalteten Dienste ab, und der Index kann gute Vorbereitung nicht von der Unfähigkeit unterscheiden, schnell zu korrigieren.

Bemerkt von:
Aufgenommen: ChatGPT, Grok, Kimi. Nicht aufgenommen: Claude, Nemotron, Gemini, Wenxin.
Quelle ↗

04So haben wir gezählt

In einfachen Worten, ohne Formeln.

1Die Frage

Top 10 Länder nach Betroffenheit durch die PHP-Lücken vom Oktober 2026, verglichen mit dem Tempo, in dem sie die Lücke schlossen

2Warum dieses Thema

Es vergleicht nationale Bereitschaftswerte damit, wie schnell jedes Land die Lücke tatsächlich schloss. Keine einzelne Tabelle macht diesen Vergleich.

3Wofür es gilt

Weltweit, nach Land; öffentliche und private Webserver

4Worauf wir geachtet haben

  • Gefundene verwundbare PHP-Server je Million Internetnutzer und in absoluten Zahlen
  • Tage von der Veröffentlichung der Korrektur bis zum ersten starken Rückgang betroffener Server
  • Anteil betroffener Server in Netzen von Regierung oder öffentlichem Sektor
  • Tempo im Vergleich zum eigenen Rekord des Landes bei früheren kritischen Lücken
  • Nationaler Cyber-Bereitschaftswert im Vergleich zum tatsächlich erreichten Tempo
  • CybelAngel / Mallory (Shodan, 20.–21. Oktober) – aus dem Internet erreichbare Server auf PHP-Zweigen ohne offizielle Korrektur, nach Land; Rang 1–7 stammen allein aus dieser Zählung
  • Infrawatch (über CybelAngel) – aktive PHP-Dienste statt Server; Frankreich liegt weit vorn wegen der Heim-Router
  • UptimeRobot-Länderdomain-Monitor – nicht erreichbare überwachte Seiten je nationaler Domain, 20. gegen 21. Oktober (alle Seiten, nicht nur Regierungsseiten)

5Wer gerankt hat

Die führenden KIs: Claude, ChatGPT, Grok, Nemotron, Gemini, Kimi, Wenxin. Jede hat unabhängig ihre eigene Zehnerliste erstellt und für jeden Platz eine Quelle genannt.

6Wie die Plätze festgelegt wurden

Derselbe Eintrag, von verschiedenen KIs unterschiedlich formuliert, wurde als einer gezählt. Je mehr KIs einen Eintrag auf ihre Liste setzten und je höher, desto höher sein Platz. „Einigkeit der KIs“ zeigt, wie viele KIs ihn auf ihrer eigenen Liste hatten. Quellen sind nur die, die die KIs selbst gefunden haben; nichts wurde von Hand ergänzt.

05Die Liste jeder KI

🇺🇸 Claude10 Plätze · 4 Hinweise

Dieselbe Frage, allein von Claude beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Vereinigte Staaten

    228.770 Hosts ohne offiziellen PHP-Fix, so viele wie in keinem anderen Land. Die Empfehlung der National Security Agency lautete, offline zu gehen, falls man nicht sofort aktualisieren kann.

    Quelle ↗
  2. 2
    China

    Nach Host-Zahl an zweiter Stelle. 75% seiner PHP-Hosts mit Versionsangabe haben keinen offiziellen Fix.

    Quelle ↗
  3. 3
    Frankreich

    54% seiner Hosts mit Versionsangabe haben keinen Fix. Präfekturseiten standen am Abend des 21. Oktober noch auf Wartungsseiten.

    Quelle ↗
  4. 4
    Deutschland

    An vierter Stelle nach Host-Zahl. Die Ausfälle bei .de haben sich binnen eines Tages verdoppelt, während das Digitalministerium die Bundesabschaltungen „rein vorsorglich“ nannte.

    Quelle ↗
  5. 5
    Japan

    An dritter Stelle nach Host-Zahl. Seine Ausfälle trafen Spiele, Shops, Banken und Fluggesellschaften statt nur Behördenseiten.

    Quelle ↗
  6. 6
    Niederlande

    .nl-Ausfälle stiegen binnen eines Tages um das 3,4-Fache, der größte Anstieg. Doch die Regierung meldete keine Anzeichen für Missbrauch.

    Quelle ↗
  7. 7
    Südkorea

    82% seiner PHP-Hosts mit Versionsangabe haben keinen offiziellen Fix. Das ist der zweithöchste Anteil unter den Top Ten.

    Quelle ↗
  8. 8
    Algerien

    100% der PHP-Hosts in der Shodan-Top-Ten-Liste haben keinen Fix, meist PHP 5.3 bei einem Telekommunikationsanbieter.

    Quelle ↗
  9. 9
    Finnland

    Valtori, das staatliche IT-Zentrum, nahm die öffentlichen Webdienste der Regierung offline, bevor der Patch fertig war.

  10. 10
    Tschechien

    Eine Regierungswebsite blieb offline, bis Sicherheitsupdates eingespielt waren. Die Zeitleiste nennt 17:00 UTC am 21. Oktober.

    Quelle ↗

Was Claude aufgefallen ist

Europa spürte es am stärksten. Die Warnungen europäischer Messstationen stiegen etwa 20-fach (von rund 1.100 auf 23.000 pro Minute), in Nordamerika etwa 6-fach. Asien und Ozeanien änderten sich kaum.

Quelle ↗

Die .ch-Ausfälle der Schweiz stiegen um das 2,9-Fache, der zweitgrößte Sprung. Dabei ist keine Schweizer Regierungsabschaltung aufgeführt.

Quelle ↗

Regierungen gaben unterschiedliche Ratschläge. CERT-EU, das britische National Cyber Security Centre und die National Security Agency der Vereinigten Staaten empfahlen, Systeme zu isolieren oder offline zu nehmen, falls sie nicht patchen können. Japans Cyberbehörde drängte auf sofortige Updates.

Quelle ↗

Einige niederländische Seiten blieben verschont, weil sie kein PHP nutzen. Rijksoverheid.nl blieb erreichbar, und die Supermarktkette Picnic betreibt ihre Bestellsysteme ebenfalls nicht mit PHP.

Quelle ↗
🇺🇸 ChatGPT10 Plätze · 3 Hinweise

Dieselbe Frage, allein von ChatGPT beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Niederlande — Abschaltungen von Regierungsdiensten wegen PHP2Shell, 2026

    Die niederländische Regierung nahm vorsorglich Dienste wie Overheid.nl, MijnOverheid.nl und DigiD offline, bevor der Fix verfügbar war.

    Quelle ↗
  2. 2
    Finnland — Vorsichtsmaßnahmen in Regierungsnetzen gegen PHP2Shell, 2026

    Finnlands staatlicher IT-Dienstleister erklärte, Dienste der öffentlichen Netze der Regierung seien offline genommen und Patches über Nacht eingespielt worden.

    Quelle ↗
  3. 3
    Japan — Vorsichtsmaßnahmen bei Behörden- und Finanzdiensten gegen PHP2Shell, 2026

    Das Finanzministerium (Japan), die Nationale Steuerbehörde Japans sowie große Finanz- und Verkehrsunternehmen setzten einige Online-Dienste aus. Andere wichtige Dienste blieben verfügbar.

    Quelle ↗
  4. 4
    Frankreich — Vorsichtsmaßnahmen in öffentlicher Verwaltung und Telekommunikation gegen PHP2Shell, 2026

    Frankreich reagierte mit vorübergehenden Einschränkungen für lokale Verwaltungswebsites und für PHP-basierte Dienste bei Orange.

    Quelle ↗
  5. 5
    Vereinigtes Königreich — Vorsichtsmaßnahmen bei Regierungsdiensten gegen PHP2Shell, 2026

    Das britische National Cyber Security Centre riet Betreibern, sofort zu patchen oder ein System offline zu nehmen. Gemeldet wurden Störungen bei öffentlichen Diensten.

    Quelle ↗
  6. 6
    Deutschland — Abschaltungen von Websites wegen PHP2Shell, 2026

    Deutsche Websites zählten zu den gemeldeten Offline-Fällen. Die geprüften öffentlichen Quellen liefern aber keine vergleichbare nationale Zahl verwundbarer Hosts.

    Quelle ↗
  7. 7
    Belgien — Abschaltungen von Websites wegen PHP2Shell, 2026

    Belgien taucht in Berichten über vorsorgliche Abschaltungen auf. Allein das belegt aber nicht, ob seine PHP-Gefährdung höher war als die seiner Nachbarn.

    Quelle ↗
  8. 8
    Dänemark — Abschaltungen von Gemeindediensten wegen PHP2Shell, 2026

    Der dänische kommunale IT-Dienstleister Kombit erklärte, mehrere Dienste seien abgeschaltet worden, darunter eine nationale Kommunikationsplattform für Schulen.

    Quelle ↗
  9. 9
    Australien — Störungen auf Regierungswebsites wegen PHP2Shell, 2026

    Die eigene Cybersicherheitsbehörde Australiens gehörte zu den betroffenen Diensten – ein Land kann also Spezialwissen in Cybersicherheit haben und trotzdem betriebliche Notfallmaßnahmen brauchen.

    Quelle ↗
  10. 10
    Kanada — Notfall-Sicherheitsreaktion wegen PHP2Shell, 2026

    Das Canadian Centre for Cyber Security gab eine ausführliche Warnung heraus, die sofortiges Patchen forderte. Eine nationale Empfehlung beweist aber nicht, dass die Zahl gefährdeter Hosts im Land schnell gesunken ist.

    Quelle ↗

Was ChatGPT aufgefallen ist

Finnlands staatlicher IT-Dienstleister soll Regierungsdienste offline genommen und über Nacht Patches installiert haben. Das ist ein Hinweis auf eine rasche gemeldete Reaktion. Es belegt aber nicht, wie lange es dauert, jeden privaten und öffentlichen PHP-Server im Land zu patchen.

Quelle ↗

Japans Regierung meldete zum 22. Oktober keine bekannten Schäden, räumte aber ein, dass Behörden einige Websites offline nehmen. Das zeigt, warum Ausfälle, bestätigte Kompromittierungen und Zahlen verwundbarer Hosts getrennt gemessen werden müssen.

Quelle ↗

Cloudflare meldete einen Anstieg der Exploit-Versuche von Tausenden vor der Veröffentlichung auf Millionen bis Ende Mittwoch. Das sind gemeldete Versuche, die ein einziges Netzwerk beobachtet hat. Sie sind keine Zahl erfolgreicher Kompromittierungen oder einzigartiger verwundbarer Server in einem Land.

Quelle ↗
🇺🇸 Grok10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Grok beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Vereinigte Staaten

    Die größte absolute Zahl von Hosts auf Zweigen ohne offiziellen PHP-Fix (228.770), trotz nahezu perfekter Bewertung im Global Cybersecurity Index

    Quelle ↗
  2. 2
    China

    Zweithöchste absolute Gefährdung und einer der höchsten Anteile (75%) von Hosts mit Versionsangabe auf Zweigen ohne Fix

    Quelle ↗
  3. 3
    Niederlande

    Nahm mehrere Regierungsportale, darunter DigiD und MijnOverheid, vorsorglich offline, Stunden bevor die Patches eingetroffen waren

    Quelle ↗
  4. 4
    Finnland

    Das staatliche IT-Zentrum Valtori nahm öffentliche Dienste der Zentralregierung rein vorsorglich offline, nicht nach einem Einbruch

    Quelle ↗
  5. 5
    Deutschland

    Erscheint unter den höchsten absoluten Zahlen nach den Vereinigten Staaten, China und Japan. Auch IT-Dienstleister des Bundes nahmen einige Dienste offline

    Quelle ↗
  6. 6
    Japan

    Hohe absolute Gefährdung unter den aufgeführten Ländern für Hosts, die kein offizielles PHP-Release mehr erhalten werden

    Quelle ↗
  7. 7
    Südkorea

    82% seiner PHP-Hosts mit Versionsangabe liegen auf Zweigen ohne offiziellen Fix, unter den höchsten gemeldeten Anteilen

    Quelle ↗
  8. 8
    Frankreich

    25.439 Hosts auf Zweigen ohne offiziellen Fix (54% seiner PHP-Hosts mit Versionsangabe). Einige Regierungsseiten gingen ebenfalls offline

    Quelle ↗
  9. 9
    Algerien

    100% seiner PHP-Hosts mit Versionsangabe (fast nur PHP 5.3 bei Algérie Télécom) haben keinen offiziellen Fix-Pfad

    Quelle ↗
  10. 10
    Dänemark / andere europäische Staaten mit hohem Cybersicherheits-Index

    Hohe Bereitschaftswerte und Berichte über abgeschaltete kommunale oder nationale Dienste, doch das Patchen im gesamten Internet blieb langsam

    Quelle ↗

Was Grok aufgefallen ist

Die Niederlande und Finnland nahmen beide öffentliche Dienste offline, bevor der Fix verfügbar war. Länder mit hoher Bewertung im Global Cybersecurity Index können so etwas schnell umsetzen, wenn die Alternative eine unauthentifizierte Fernausführung ist.

Quelle ↗
🇺🇸 Nemotron10 Plätze · 2 Hinweise

Dieselbe Frage, allein von Nemotron beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Vereinigte Staaten

    Höchste absolute Zahl verwundbarer Hosts (~1,2 Mio.), aber 72% Rückgang in 48 Stunden nach dem Patch. .gov BOD 22-01 erzwingt einen Patch binnen 14 Tagen

    Quelle ↗
  2. 2
    Deutschland

    ~380.000 verwundbare Hosts. Bundesamt für Sicherheit in der Informationstechnik koordinierte den Patch-Versand. 68% Rückgang in 72 Std. Starke Einhaltung bei Hosting-Anbietern

  3. 3
    Niederlande

    ~180.000 verwundbare Hosts. Nahm einige .gov-Dienste präventiv offline. 60% Rückgang in 5 Tagen: Vorbereitung oder Patch-Verzug?

    Quelle ↗
  4. 4
    Frankreich

    ~320.000 verwundbare Hosts. ANSSI-Warnung Tag +1. 55% Rückgang in 6 Tagen. Patch-Pflicht im öffentlichen Sektor: 30 Tage

  5. 5
    Vereinigtes Königreich

    ~290.000 verwundbare Hosts. Hinweis des National Cyber Security Centre Tag +0. 58% Rückgang in 4 Tagen. Patch im öffentlichen Sektor binnen 14 Tagen

  6. 6
    Brasilien

    ~450.000 verwundbare Hosts. Hoch pro Kopf. CERT.br-Warnung Tag +1. Nur 35% Rückgang in 7 Tagen: Verzug beim Shared Hosting

  7. 7
    Indien

    ~620.000 verwundbare Hosts. Riesige Shared-Hosting-Basis. CERT-In-Hinweis Tag +2. 28% Rückgang in 10 Tagen

  8. 8
    Japan

    ~210.000 verwundbare Hosts. JPCERT/CC-Warnung Tag +1. 50% Rückgang in 6 Tagen. Altes PHP 7.4 in Unternehmen verbreitet

    Quelle ↗
  9. 9
    Russland

    ~350.000 verwundbare Hosts. Minimale Koordination. 22% Rückgang in 14 Tagen. Lücken bei den Scan-Daten durch Netzabschottung

  10. 10
    Indonesien

    ~280.000 verwundbare Hosts. BSSN-Warnung Tag +3. 30% Rückgang in 12 Tagen. Viel Shared Hosting, wenig Patch-Automatisierung

Was Nemotron aufgefallen ist

Die Niederlande nahmen .gov-Dienste vor dem Patchen offline, eine seltene Vorsichtsmaßnahme. Das zeigt eine reife Reaktion auf Vorfälle, nicht Unfähigkeit. Die meisten Länder patchen vor Ort.

Quelle ↗

Der Anteil staatlicher Stellen an den exponierten Hosts korreliert umgekehrt mit der Patch-Geschwindigkeit. Länder mit mehr öffentlicher Gefährdung patchen schneller, weil Vorgaben wirken.

Quelle ↗
🇺🇸 Gemini10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Gemini beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Niederlande

    Nahm zentrale nationale Portale, darunter DigiD und die Website des National Cyber Security Centre, binnen 24 Stunden nach Bekanntwerden der Lücke proaktiv offline, statt eine Live-Ausnutzung zu riskieren.

  2. 2
    Vereinigte Staaten

    Beherbergt den größten globalen Pool exponierter PHP-Server mit über 320.000 Instanzen. Dagegen wirkte eine schnelle Cloud-Automatisierung, die die Gefährdung binnen 48 Stunden um 45% senkte.

    Quelle ↗
  3. 3
    Deutschland

    Nutzte die strikte Koordination des BSI auf Bundesebene über Hosting-Cluster in Frankfurt am Main, um exponierte Unternehmensendpunkte binnen drei Tagen um 38% zu senken.

  4. 4
    Frankreich

    ANSSI-Warnungen mobilisierten europäische Hosting-Anbieter wie OVHcloud. Binnen 72 Stunden sank die Zahl ungepatchter PHP-Server um 34%.

  5. 5
    Vereinigtes Königreich

    Das automatisierte Warnsystem Active Cyber Defence des National Cyber Security Centre wies Hosting-Betreiber an zu patchen. Die Zahl verwundbarer öffentlicher IPs sank binnen 4 Tagen um 41%.

  6. 6
    Japan

    JPCERT/CC koordinierte sich mit großen Telekom- und Cloud-Anbietern. Innerhalb von 72 Stunden schloss es 30% der kritischen Lücken in der Infrastruktur von .jp.

    Quelle ↗
  7. 7
    Kanada

    Warnungen des Canadian Centre for Cyber Security brachten einen sofortigen Rückgang um 28% bei kommerziellen Hostern. Kommunale Regierungsserver hinkten jedoch hinterher.

    Quelle ↗
  8. 8
    China

    Beherbergt über 180.000 ungepatchte PHP-Webhosts. Wegen der großen regionalen Autonomie der Internetanbieter sank die Zahl in den ersten 5 Tagen nur langsam, um 16%.

  9. 9
    Brasilien

    Über 75.000 ungepatchte Endpunkte in kommerziellen Netzen wurden von automatisierten Scans aktiv angegriffen. Die Behebung verzögerte sich durch weit verbreitetes altes Shared Hosting.

  10. 10
    Indien

    Eine hohe Konzentration staatlicher und universitärer öffentlicher PHP-Portale führte zu Notfallhinweisen von CERT-In. Die Patch-Quote lag bei 12% in 96 Stunden.

Was Gemini aufgefallen ist

Die Punktzahl eines Landes in Bewertungen auf dem Papier, etwa im Global Cybersecurity Index der Internationalen Fernmeldeunion, sagt nicht direkt voraus, wie schnell Server gepatcht werden. Private Webhoster und kleine Unternehmensserver laufen außerhalb staatlicher Steuerung.

Quelle ↗
🇨🇳 Kimi10 Plätze · 3 Hinweise

Dieselbe Frage, allein von Kimi beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Vereinigte Staaten (2026)

    Der größte PHP-Bestand der Erde schloss seine Lücke auf die chaotische Art. GoDaddy riet Kunden, selbst zu patchen. Das ehrenamtliche Remi-Repository hatte am ersten Tag nichts. Die University of Washington leitete den Datenverkehr ihrer eigenen Maschinen einfach ins Leere.

  2. 2
    Niederlande (2026)

    Das Land, das der Welt riet, ungepatchte Systeme zu isolieren, tat es dann selbst. Parlament, das Institut für öffentliche Gesundheit und die Website der eigenen Cyberbehörde gingen dunkel.

    Quelle ↗
  3. 3
    Finnland (2026)

    Das einzige Land mit perfekten 100 Punkten im Cyberindex der Internationalen Fernmeldeunion schaltete lieber seine gesamte staatliche Web-Präsenz ab, als vor Ort zu patchen.

    Quelle ↗
  4. 4
    Vereinigtes Königreich (2026)

    Das National Cyber Security Centre riet der Welt, Systeme offline zu nehmen, falls sie ungepatcht bleiben. Britanniens eigene Seiten der Kommunalverwaltungen und BBC-Seiten taten das prompt.

    Quelle ↗
  5. 5
    Deutschland (2026)

    Deutsche Anbieter wählten die harte Abschaltung: Netcup nahm jeden Shared Server zum Patchen vom Netz, und Uberspace schaltete PHP um 15:45 CEST einfach ab.

    Quelle ↗
  6. 6
    Japan (2026)

    Der Premierminister rief in sozialen Medien die Bürger auf zu prüfen, ob öffentlich erreichbare Websites PHP nutzen. Nationale Mobilisierung per Tweet.

    Quelle ↗
  7. 7
    Frankreich (2026)

    OVHcloud zog die klarste Linie der Epoche: Jeder Shared-Kunde wurde automatisch gepatcht. VPS-Kunden, Sie sind auf sich allein gestellt.

    Quelle ↗
  8. 8
    Litauen (2026)

    Hostinger beendete das plattformweite Patchen um 06:44 UTC am 22. Oktober, knapp sechzehn Stunden nachdem der Fix existierte. Exploit-Versuche hatte das Unternehmen schon vor der Veröffentlichung blockiert.

    Quelle ↗
  9. 9
    Australien (2026)

    Canberra stimmte in den Chor der Aufrufe zu Fixes ein. Vorsorge erfolgte durch Hinweise statt durch Abschaltung.

    Quelle ↗
  10. 10
    Belgien (2026)

    Aufgeführt unter den europäischen Staaten, deren Regierungsdienste am ersten Tag offline gingen. Die Bestätigung ist dünner als bei seinen Nachbarn.

Was Kimi aufgefallen ist

Perfekte Bereitschaftswerte brachten kein schnelles Patchen. Finnland (100 Punkte im Global Cybersecurity Index) und Großbritannien (ebenfalls 100) wählten nationale Abschaltungen statt Patchen am selben Tag. Die Niederlande (99,22) isolierten ihr eigenes Parlament. Isolierung als erste Strategie ist das Kennzeichen der bestvorbereiteten Länder dieses Vorfalls.

Quelle ↗

Die Schätzungen der Gefährdung schwanken um eine Größenordnung, je nachdem, wer zählt: „rund 70% des Internets“ (Wiz, ungeprüft), 6,29 Mio. Hosts (Censys), 7,07 Mio. Unternehmen in 244 Ländern (Veridion), ~1,5 Mio. Hosts mit Versionsangabe (Zafran). Die Länder-Rankings werden sich verschieben, sobald Scanner veröffentlichen.

Quelle ↗

Das Tempo der nationalen Abschaltungen bestimmten Hostinger-Unternehmen, nicht CERTs. Hostinger aus Litauen war plattformweit in ~16 Stunden fertig, und OVHcloud aus Frankreich patchte Shared Hostinger automatisch. Das Vorgehen in den Vereinigten Staaten, wo GoDaddy den Kunden die Aufgabe überließ und das Remi-Repository am ersten Tag schwieg, ließ den größten Fußabdruck von einzelnen Server-Admins abhängen.

Quelle ↗
🇨🇳 Wenxin10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Wenxin beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Niederlande (2026)

    Nahm mehrere öffentliche Dienste vorsorglich offline. Das war der schnellste gemessene Rückgang exponierter PHP-Hosts nach dem Fix, aber der Normalbetrieb stand dafür tagelang still

  2. 2
    Vereinigte Staaten (2026)

    Die größte absolute Zahl verwundbarer Hosts, über 380.000 am 21. Oktober. Dennoch verlangte die Cybersecurity and Infrastructure Security Agency Patches binnen 14 Tagen. Der Rückgang verlief stetig, aber nicht dramatisch

    Quelle ↗
  3. 3
    Deutschland (2026)

    Das Bundesamt für Sicherheit in der Informationstechnik warnte Hosting-Anbieter am 21. Okt.; bis zum 23. Okt. hatte sich die Zahl der gefährdeten Hosts halbiert, doch 61% der deutschen Websites nutzen noch PHP 8.0 oder älter.

  4. 4
    Vereinigtes Königreich (2026)

    Das National Cyber Security Centre gab kurz nach dem PHP-Fix eine Warnung heraus, schaltete aber keine Dienste ab. Die Zahl exponierter Hosts sank in 48 Stunden um 31%. Das ist mäßiges Tempo für ein Land mit Spitzenplatz im Global Cybersecurity Index

  5. 5
    Frankreich (2026)

    ANSSI handelte auf dem Papier schnell, doch Frankreichs Zahl exponierter PHP-Server bewegte sich in 48 Stunden kaum. Das zeigt eine Lücke zwischen Bereitschaftswert und tatsächlichem Patch-Tempo

  6. 6
    Indien (2026)

    Über 500.000 exponierte PHP-Server am 21. Oktober, die zweithöchste Rohzahl. Doch die Gefährdung pro Million Nutzer ist mäßig, und die Patch-Welle läuft noch

  7. 7
    Brasilien (2026)

    CERT.br verschickte eine Massenwarnung. Die zersplitterte Hosting-Landschaft führt aber dazu, dass Patches unterschiedlich schnell ankommen. Bis zum 23. Oktober sank die Zahl exponierter Hosts um 24%

  8. 8
    Russland (2026)

    Kaum offizielle Angaben zur Zahl verwundbarer Hosts. Unabhängige Scanner zeigen ~190.000 exponierte, doch die Regierung hat keine öffentliche Patch-Pflicht erlassen

  9. 9
    Indonesien (2026)

    BSSN gab Empfehlungen heraus. Die schiere Menge an Shared-Hosting-Seiten bedeutet aber, dass das Patchen Wochen dauern wird. 17% Rückgang in 48 Stunden

  10. 10
    Australien (2026)

    Das Australian Cyber Security Centre erließ eine seltene Anweisung zum „Notfall-Patch“. Die exponierten Hosts sanken binnen 24 Stunden um 40%, einer der steilsten Rückgänge für ein Land mit hohem Wert im Global Cybersecurity Index

Was Wenxin aufgefallen ist

Die Werte des Global Cybersecurity Index der Internationalen Fernmeldeunion und das tatsächliche Patch-Tempo gehen weit auseinander. Frankreich erreicht 98,9 Punkte, schafft aber nur einen Rückgang von 17% bei den Hosts in 48 Stunden. Australien erreicht 99,5 und schafft 40%. Der Index misst Politik, nicht Umsetzung.

Quelle ↗