Geld kam erst nach der Krise. Nach Heartbleed sagte ein Dutzend Unternehmen über die Core Infrastructure Initiative jeweils 100.000 Dollar pro Jahr für drei Jahre zu, und zwei OpenSSL-Entwickler arbeiteten fortan in Vollzeit.
Zurück zum Trend des Tages: Zwei PHP-Lücken erlauben Fremden, Websites zu übernehmen; einige gingen vorsorglich offline
Poly-Ranking · aus dem Trend des Tages
Die schlimmsten Sicherheitslücken im Netz: Log4j, Heartbleed, PHP 2026
Vor Heartbleed wurde die Verschlüsselungsbibliothek, die hinter einem großen Teil der HTTPS-Server im Netz steckte, mit rund 2.000 Dollar Spenden im Jahr betrieben. Sieben Jahre später wurde Log4Shell, mit der Höchstnote 10 bewertet, mindestens acht Tage vor der öffentlichen Warnung angegriffen.
- Nr. 1: Log4Shell (Log4j, CVE-2021-44228)
- 10 Plätze
01Endgültige Liste
Die führenden KIs haben unabhängig voneinander jeweils eine eigene Liste mit zehn Plätzen erstellt. Hier steht ein leicht prüfbares Ergebnis: Jeder Platz hat einen Grund, eine Quelle und die Liste der KIs, die ihn aufgenommen haben.
Reihenfolge: von größter bis geringster Übereinstimmung der KIs.
Ein helles Kennzeichen heißt: Diese KI hat den Eintrag auf ihre Liste gesetzt. Ein blasses: hat sie nicht.
- 1
Log4Shell (Log4j, CVE-2021-44228)
Höchstwert 10,0, ohne dass ein Passwort nötig ist. Angegriffen ab dem 1. Dezember 2021, acht Tage vor der Warnung. Unbezahlte Betreuer: Quellen nennen 3 oder 16 Freiwillige.
Aufgenommen: Claude, Meta, Nemotron, Gemini. Nicht aufgenommen: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 1 · Meta: 1 · Nemotron: 6 · Gemini: 1
Was jede KI angemerkt hat 4
- ClaudePlatz 1
Cloudflare beobachtete einen erfolgreichen Exploit am 1. Dezember 2021, mindestens neun Tage vor der öffentlichen Warnung. Den Code hielt ein ehrenamtliches Team am Laufen, das die Apache-Stiftung nicht bezahlte.
Quelle ↗ - MetaPlatz 1
Perfect 10.0 CVSS, 400k exploit attempts in 2 days, 30% still vulnerable after 60 days, fixed by 16 unpaid volunteers
Quelle ↗ - NemotronPlatz 6
Duplicate entry; see rank 1.
Quelle ↗ - GeminiPlatz 1
A single line of text in a free logging package run by three unpaid volunteers exposed an estimated three billion devices across the world's largest cloud providers.
Quelle ↗
4 KIs setzten es hierher - 2
Heartbleed (OpenSSL, CVE-2014-0160)
Nur mit 5,0 (v2) oder 7,5 (v3) bewertet, doch sie gab private Schlüssel preis. Rund 600.000 Server waren verwundbar, und zwei Monate später waren es noch etwa 300.000. OpenSSL lief mit rund 2.000 Dollar im Jahr.
Aufgenommen: Claude, Meta, Nemotron, Gemini. Nicht aufgenommen: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 2 · Meta: 2 · Nemotron: 2 · Gemini: 2
Was jede KI angemerkt hat 4
- ClaudePlatz 2
CISA setzte es erst am 4. Mai 2022 auf ihre Liste ausgenutzter Lücken, acht Jahre nach der Korrektur. Vor der Krise soll die Stiftung hinter OpenSSL einen Vollzeitmitarbeiter und rund 2.000 Dollar Spenden im Jahr gehabt haben.
Quelle ↗ - MetaPlatz 2
600k servers initially vulnerable, 309,197 still leaking memory after 2 months, OpenSSL had $2,000 yearly donations and 4 volunteers
Quelle ↗ - NemotronPlatz 2
CVSS 7.5 but exposed private keys of ~17% of HTTPS sites; exploited within hours; patching took months for many; OpenSSL had ~4 core developers, <$1M/yr funding.
- GeminiPlatz 2
A cryptographic library protecting two-thirds of the world's encrypted web servers was kept alive on roughly $2,000 a year in donations by a single full-time maintainer.
4 KIs setzten es hierher - 3
Shellshock (GNU Bash, CVE-2014-6271)
Mit 10,0 (v2) bewertet und wenige Stunden nach der Veröffentlichung angegriffen. Der Fehler steckte in Bash, einem Programm, das hauptsächlich ein einziger Betreuer pflegte, Chet Ramey. Die CISA nahm ihn erst 2022 in ihre Liste auf.
Aufgenommen: Claude, Meta, Nemotron, Gemini. Nicht aufgenommen: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 3 · Meta: 4 · Nemotron: 4 · Gemini: 4
Was jede KI angemerkt hat 4
- ClaudePlatz 3
Ein Fehler in der Shell, die hinter unzähligen Webservern läuft, wurde innerhalb von Stunden nach der Veröffentlichung angegriffen, doch CISA führte ihn erst im Januar 2022 auf.
- MetaPlatz 4
25-year-old bug since 1989 in Bash on every Linux and Mac, CVSS 10.0, first in-the-wild attacks within 24 hours
Quelle ↗ - NemotronPlatz 4
CVSS 10.0 in Bash; unauthenticated RCE via environment variables; exploited within days; patching fragmented across Unix-like systems; Bash maintained by ~2 volunteers, minimal funding.
- GeminiPlatz 4
A silent command execution flaw lay dormant for 22 years in the default Unix shell that essentially one programmer had maintained since 1989.
4 KIs setzten es hierher - 4
PHP2Shell (PHP, CVE-2026-109618 und CVE-2026-109619)
Zwei Lücken für die Remote-Code-Ausführung ohne Anmeldung (9,2 nach v4.0; 9,8 nach v3.1, laut einem Bericht). Ob Angriffe bestätigt sind, ist umstritten, und am 21. Oktober standen sie noch nicht im KEV-Katalog.
Aufgenommen: Claude, Meta, Nemotron, Gemini. Nicht aufgenommen: ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 4 · Meta: 3 · Nemotron: 3 · Gemini: 5
Was jede KI angemerkt hat 4
- ClaudePlatz 4
Ein durchgesickerter Hinweis brachte die Korrektur einen Tag nach vorn, und rund 884.000 Hosts meldeten noch PHP 8.1 oder älter, eine Versionslinie ohne offizielle Korrektur.
Quelle ↗ - MetaPlatz 3
69.3% of identifiable web sites run PHP, attacks started 4 days before fix, flaws leaked Oct 20 ahead of Oct 21 patch
Quelle ↗ - NemotronPlatz 3
Two critical flaws (CVSS 9.8) in PHP's CGI mode allow unauthenticated RCE; attacks seen before patch; ~78% of web runs PHP; core team ~10 volunteers, ~$200k/yr.
Quelle ↗ - GeminiPlatz 5
A double memory corruption flaw in the engine powering over 75% of global websites forced emergency weekend patches and prompted government agencies across Europe to take portals offline.
4 KIs setzten es hierher - 5
XZ-Utils-Hintertür (CVE-2024-3094)
Mit 10,0 bewertet, doch es war eine eingeschleuste Hintertür, kein Fehler. Es brauchte zwei Jahre Vertrauensaufbau bei einem einzelnen Betreuer, und entdeckt wurde sie durch eine halbe Sekunde langsamere SSH-Verbindung, bevor sie breit ausgerollt war.
Aufgenommen: Claude, Meta, Gemini. Nicht aufgenommen: ChatGPT, Grok, Nemotron, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 5 · Meta: 5 · Gemini: 3
Was jede KI angemerkt hat 3
- ClaudePlatz 5
Eine jahrelange Übernahme eines Projekts mit nur einem Betreuer wurde zufällig von einem einzelnen Ingenieur entdeckt, bevor sie die meisten stabilen Linux-Versionen erreichte.
Quelle ↗ - MetaPlatz 5
Intentional backdoor after 2-year grooming of exhausted volunteer, CVSS 10.0, caught by 500ms SSH latency anomaly weeks before stable release
Quelle ↗ - GeminiPlatz 3
A multi-year covert operation targeted the psychological exhaustion of a lone, unpaid maintainer in Finland to plant a master key directly into Linux SSH logins.
Quelle ↗
3 KIs setzten es hierher - 6
Spring4Shell (Spring Framework, CVE-2022-22965)
Mit 9,8 bewertet, mit öffentlichem Angriffscode binnen 24 Stunden, und die CISA nahm sie vier Tage nach der Veröffentlichung auf. Anders als die meisten hier hatte das Projekt den Rückhalt eines Unternehmens (VMware).
Aufgenommen: Claude, Meta, Nemotron. Nicht aufgenommen: ChatGPT, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 9 · Meta: 8 · Nemotron: 7
Was jede KI angemerkt hat 3
- ClaudePlatz 9
Als Nachfolger von Log4Shell bezeichnet, landete sie am 4. April 2022 auf der Liste der CISA mit einer Frist von 21 Tagen.
Quelle ↗ - MetaPlatz 8
CVSS 9.8 RCE in Spring MVC/WebFlux on JDK 9+, exploit public within 24h, Spring powers millions of enterprise Java apps
Quelle ↗ - NemotronPlatz 7
CVSS 9.8 in Spring Framework; unauthenticated RCE via data binding; exploited within days; widespread in enterprise Java; Spring team ~20 engineers, funded by VMware/Tanzu.
Quelle ↗
3 KIs setzten es hierher - 7
GHOST (glibc, CVE-2015-0235)
Ein Speicherüberlauf, der seit dem Jahr 2000 in fast jedem Linux-System steckt. KIs geben ihm die Bewertung 10,0 (v2), 9,8 oder 7,5, und die Korrektur hieß, jeden Netzwerkdienst neu zu starten.
Aufgenommen: Meta, Nemotron, Gemini. Nicht aufgenommen: Claude, ChatGPT, Grok, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Meta: 7 · Nemotron: 10 · Gemini: 9
Was jede KI angemerkt hat 3
- MetaPlatz 7
Heap overflow in gethostbyname since glibc 2.2 in 2000, CVSS 10.0, affects virtually every Linux system, patch lag 15 years
Quelle ↗ - NemotronPlatz 10
CVSS 7.5 in glibc gethostbyname; unauthenticated RCE via DNS; exploited within days; patching across Linux distros fragmented; glibc maintained by ~10 volunteers, funded by Red Hat/others.
- GeminiPlatz 9
A buffer overflow in the core GNU C resolver function quietly underwrote almost every connected Linux application from 2000 until 2015.
3 KIs setzten es hierher - 8
Apache Struts / Equifax (CVE-2017-5638)
Angriffscode erschien einen Tag nach dem Update im März 2017. Equifax verlor trotzdem Daten von 146,6 Millionen Menschen (eine andere Quelle nennt 147,9 Millionen) über einen einzigen nicht aktualisierten Server.
Aufgenommen: Claude, Meta. Nicht aufgenommen: ChatGPT, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 7 · Meta: 6
Was jede KI angemerkt hat 2
- ClaudePlatz 7
Ein Patch erschien am 6. März 2017, Exploit-Code tauchte am nächsten Tag auf, und Equifax verlor trotzdem Daten von 146,6 Millionen Menschen.
Quelle ↗ - MetaPlatz 6
One unpatched Struts instance led to 147.9M people breached, patch available Mar 7 2017, exploited Mar 2017, Equifax breached May-July
Quelle ↗
2 KIs setzten es hierher - 9
React2Shell (React Server Components, CVE-2025-55182)
Mit 10,0 bewertet, und ein einziger Aufruf genügte. Die offen erreichbaren IPs in den Scans von Shadowserver stiegen innerhalb einer Woche von 77.664 auf über 137.200, und mehr als 30 Organisationen wurden gehackt (eine Quelle).
Aufgenommen: Claude. Nicht aufgenommen: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 6
Was jede KI angemerkt hat 1
- ClaudePlatz 6
Eine einzige präparierte Web-Anfrage genügte, und die Zahl der offenen IP-Adressen in den Scans von Shadowserver stieg innerhalb einer Woche von 77.664 auf über 137.200.
Quelle ↗
1 KIs setzten es hierher - 10
PHP-CGI-Argumentinjektion (CVE-2024-4577)
Der frühere Notfall bei PHP. Eine Erpressergruppe nutzte die Lücke etwa 2 Tage nach den Korrekturen vom Juni 2024 aus, und rund 250.000 Windows-PHP-Server waren offen erreichbar (Schätzung eines Anbieters).
Aufgenommen: Claude. Nicht aufgenommen: ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin.In ihren Listen: Claude: 8
Was jede KI angemerkt hat 1
- ClaudePlatz 8
Die „best-fit“-Zeichenumwandlung von Windows ließ Fremde Code ausführen, und eine Ransomware-Gruppe nutzte sie innerhalb weniger Tage nach den Korrekturen vom Juni 2024.
Quelle ↗
1 KIs setzten es hierher
02Wissenswert
Was den KIs beim Erstellen der Liste aufgefallen ist.
CISA nahm Heartbleed im Mai 2022 in ihre Liste ausgenutzter Lücken auf, acht Jahre nach der Korrektur. Die KEV-Daten zeigen, wann die Liste erstellt wurde, nicht, wann die Angriffe begannen.
Bei der XZ-Hintertür ging es nicht mehr um zufällige Fehler, sondern um Manipulation von Menschen. Ein Angreifer verbrachte etwa zwei Jahre damit, Schreibrechte im Projekt zu erlangen, indem er einem erschöpften Einzelbetreuer „half“.
Wie viele Freiwillige Log4j am Laufen hielten, ist umstritten: 16 unbezahlte Freiwillige laut InfoWorld und Help Net Security, etwa 3 laut anderen Angaben. Ein Jahr später arbeitete der Betreuer Ralph Goers unbezahlt daran weiter, neben zwei Vollzeitjobs.
Der PHP-Anteil am Netz wird mit 69,3% angegeben (W3Techs, 21. Oktober 2026, Websites mit bekannter Serversprache) und in anderen Angaben mit 76–78%. So oder so erreicht eine Lücke im PHP-Kern mehr Websites als ein Fehler in WordPress oder Drupal.
03So haben wir gezählt
In einfachen Worten, ohne Formeln.
1Die Frage
Die 10 größten Lücken in den verborgenen Grundlagen des Internets, von Heartbleed bis zum heutigen PHP-Notfall
2Warum dieses Thema
Es stellt die heutigen PHP-Lücken in eine Reihe mit Heartbleed, Shellshock und Log4Shell und setzt das Tempo der Angriffe gegen das Tempo der Updates – was keine einzelne Liste tut.
3Wofür es gilt
Weltweit; quelloffene Software, auf die ein großer Teil des Internets angewiesen ist
4Worauf wir geachtet haben
- Schwere-Bewertung und ob ein Fremder ohne Passwort die Kontrolle übernehmen könnte
- Tage von der Veröffentlichung bis zu bestätigten Angriffen
- Zeit, bis die meisten betroffenen Server weltweit aktualisiert waren
- Größe und Finanzierung des Freiwilligenteams, das die Software pflegte
- NIST National Vulnerability Database (NVD) — CVSS-Schweregrade und ob eine Lücke ohne Passwort nutzbar ist
- CISA-Katalog „Known Exploited Vulnerabilities“ (KEV) — bestätigte reale Angriffe, das Datum, an dem die CISA jede Lücke aufnahm, und die verbindliche Update-Frist für US-Bundesbehörden
- Scans der Shadowserver Foundation (laut BleepingComputer) — im Internet erreichbare IPs, auf denen nach einer Korrektur noch verwundbarer Code läuft
- Censys-Rückblick zu Log4j — Anteil der Internet-Hosts, die im Zeitverlauf noch als anfällig für Log4Shell erschienen
5Wer gerankt hat
Die führenden KIs: Claude, ChatGPT, Meta, Grok, Nemotron, Gemini, StepFun, Kimi, DeepSeek, Wenxin. Jede hat unabhängig ihre eigene Zehnerliste erstellt und für jeden Platz eine Quelle genannt.
6Wie die Plätze festgelegt wurden
Derselbe Eintrag, von verschiedenen KIs unterschiedlich formuliert, wurde als einer gezählt. Je mehr KIs einen Eintrag auf ihre Liste setzten und je höher, desto höher sein Platz. „Einigkeit der KIs“ zeigt, wie viele KIs ihn auf ihrer eigenen Liste hatten. Quellen sind nur die, die die KIs selbst gefunden haben; nichts wurde von Hand ergänzt.
04Die Liste jeder KI
🇺🇸 Claude10 Plätze · 4 Hinweise
Dieselbe Frage, allein von Claude beantwortet. Die endgültige Liste oben vereint alle KIs.
- 1Log4Shell (Apache Log4j, CVE-2021-44228, 2021)
Cloudflare beobachtete einen erfolgreichen Exploit am 1. Dezember 2021, mindestens neun Tage vor der öffentlichen Warnung. Den Code hielt ein ehrenamtliches Team am Laufen, das die Apache-Stiftung nicht bezahlte.
Quelle ↗ - 2Heartbleed (OpenSSL, CVE-2014-0160, 2014)
CISA setzte es erst am 4. Mai 2022 auf ihre Liste ausgenutzter Lücken, acht Jahre nach der Korrektur. Vor der Krise soll die Stiftung hinter OpenSSL einen Vollzeitmitarbeiter und rund 2.000 Dollar Spenden im Jahr gehabt haben.
Quelle ↗ - 3Shellshock (GNU Bash, CVE-2014-6271, 2014)
Ein Fehler in der Shell, die hinter unzähligen Webservern läuft, wurde innerhalb von Stunden nach der Veröffentlichung angegriffen, doch CISA führte ihn erst im Januar 2022 auf.
- 4PHP2Shell (PHP, CVE-2026-109618 und CVE-2026-109619, Oktober 2026)
Ein durchgesickerter Hinweis brachte die Korrektur einen Tag nach vorn, und rund 884.000 Hosts meldeten noch PHP 8.1 oder älter, eine Versionslinie ohne offizielle Korrektur.
Quelle ↗ - 5XZ Utils: Hintertür (CVE-2024-3094, 2024)
Eine jahrelange Übernahme eines Projekts mit nur einem Betreuer wurde zufällig von einem einzelnen Ingenieur entdeckt, bevor sie die meisten stabilen Linux-Versionen erreichte.
Quelle ↗ - 6React2Shell (React Server Components, CVE-2025-55182, Dezember 2025)
Eine einzige präparierte Web-Anfrage genügte, und die Zahl der offenen IP-Adressen in den Scans von Shadowserver stieg innerhalb einer Woche von 77.664 auf über 137.200.
Quelle ↗ - 7Apache Struts / Equifax (CVE-2017-5638, 2017)
Ein Patch erschien am 6. März 2017, Exploit-Code tauchte am nächsten Tag auf, und Equifax verlor trotzdem Daten von 146,6 Millionen Menschen.
Quelle ↗ - 8PHP-CGI: Einschleusung von Argumenten (CVE-2024-4577, 2024)
Die „best-fit“-Zeichenumwandlung von Windows ließ Fremde Code ausführen, und eine Ransomware-Gruppe nutzte sie innerhalb weniger Tage nach den Korrekturen vom Juni 2024.
Quelle ↗ - 9Spring4Shell (Spring Framework, CVE-2022-22965, 2022)
Als Nachfolger von Log4Shell bezeichnet, landete sie am 4. April 2022 auf der Liste der CISA mit einer Frist von 21 Tagen.
Quelle ↗ - 10Drupalgeddon2 (Drupal-Kern, CVE-2018-7600, 2018)
Eine Remote-Code-Ausführung in Drupal, die im November 2021 noch auf CISAs Pflicht-Patch-Liste aufgenommen wurde, mehr als drei Jahre später.
Quelle ↗
Was Claude aufgefallen ist
CISA nahm Heartbleed im Mai 2022 in ihre Liste ausgenutzter Lücken auf, acht Jahre nachdem der Fehler behoben war. Die Daten der KEV-Liste zeigen, wann die Liste erstellt wurde, nicht wann die Angriffe begannen. Für Lücken aus der Zeit um 2014 sind sie also ein schlechter Zeitmesser.
Heartbleeds NVD-Bewertung lag nur bei 5,0 (CVSS v2), weil die alte Bewertungsmethode die Auswirkungen auf den Host zählte. Dennoch legte die Lücke Passwörter und private Schlüssel offen. Log4Shell erhielt 10,0, und das Projekt, das es betreute, hatte 16 unbezahlte Freiwillige.
Das Geld kam nach der Krise. Nach Heartbleed verpflichteten sich ein Dutzend Unternehmen über die Core Infrastructure Initiative, drei Jahre lang jeweils 100.000 Dollar im Jahr zu zahlen, und zwei OpenSSL-Entwickler wurden hauptberuflich angestellt.
Ein Jahr nach Log4Shell wurde berichtet, dass Ralph Goers weiterhin zwei Vollzeitjobs hatte, wobei Log4j die unbezahlte Tätigkeit war (spanischsprachiger Bericht). Seine GitHub-Sponsors-Zahl stieg von 3 auf 31.