Zurück zum Trend des Tages: PHP schließt per Update eine Lücke in Windows-Webtools, durch die Angreifer Code ausführen könnten
Poly-Ranking · aus dem Trend des Tages

Algorithmus zur Datenkompression: Top 10 der Web-Codecs 2026

Zstandard dekomprimiert 3,6-mal so schnell wie Brotli (1.550 gegen 425 MB/s), bei einem Unterschied von 0,4 % im Kompressionsverhältnis. Und im Oktober 2026 steckte im Decoder von Brotli ein aus der Ferne ausnutzbarer Schreibfehler außerhalb der Grenzen, bewertet mit 9,8.

  • Nr. 1: Zstandard (zstd)
  • 10 Plätze

01Endgültige Liste

Die führenden KIs haben unabhängig voneinander jeweils eine eigene Liste mit zehn Plätzen erstellt. Hier steht ein leicht prüfbares Ergebnis: Jeder Platz hat einen Grund, eine Quelle und die Liste der KIs, die ihn aufgenommen haben.

Reihenfolge: von größter bis geringster Übereinstimmung der KIs.

Ein helles Kennzeichen heißt: Diese KI hat den Eintrag auf ihre Liste gesetzt. Ein blasses: hat sie nicht.

  1. 1

    Zstandard (zstd)

    Dekodiert mit 1.550 MB/s gegen 425 bei Brotli, bei fast gleichem Verhältnis (2,896 gegen 2,883). Seine wenigen CVEs betreffen das Kommandozeilenwerkzeug, nicht den Decoder. Bei Web-Ressourcen gewinnt weiterhin Brotli, 3,08 gegen 2,86.

    Aufgenommen: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Nicht aufgenommen: ChatGPT, Wenxin.

    In ihren Listen: Meta: Liste ansehen · Grok: Liste ansehen · Gemini: Liste ansehen · Nova: 1 · StepFun: Liste ansehen · Kimi: Liste ansehen · DeepSeek: Liste ansehen · Qwen: Liste ansehen

    Was jede KI angemerkt hat 8
    • Meta

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Grok

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Gemini

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • NovaPlatz 1

      Dekomprimiert mit 200–400 MB/s bei einem Kompressionsverhältnis von 2,5–3,5x, doch sein Stream-Validierungsfehler von 2026 erhöhte das DoS-Risiko.

      Quelle ↗
    • StepFun

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Kimi

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • DeepSeek

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Qwen

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    8 KIs setzten es hierher
  2. 2

    gzip / DEFLATE (zlib)

    Komprimiert immer noch 60 % des Web-JavaScripts, gegenüber 29 % bei Brotli. Dekodiert mit 390 MB/s bei einem Verhältnis von 2,743. Sein zlib-Decoder hat 19 CVEs, darunter CVE-2022-37434 mit Wertung 9,8.

    Aufgenommen: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Nicht aufgenommen: ChatGPT, Wenxin.

    In ihren Listen: Meta: 2 · Grok: 2 · Gemini: 2 · Nova: 3 · StepFun: 2 · Kimi: 2 · DeepSeek: 2 · Qwen: 1

    Was jede KI angemerkt hat 8
    • MetaPlatz 2

      82 % der Seiten liefern gzip über zlib – in PHP, Python gzip, Node zlib, Ruby Zlib und jedem Nginx-Build – CVE-2022-37434, Heap-Überlauf über ein übergroßes gzip-Header-Extrafeld

    • GrokPlatz 2

      In nahezu jede Sprach-Laufzeit und jeden Webserver eingebunden; einige kritische Heap-Überläufe (darunter 2022 und 2026) tauchen trotz jahrzehntelanger Prüfung weiterhin auf.

    • GeminiPlatz 2

      Still in Node.js-, Python- und PHP-Laufzeiten eingebunden, wodurch 47,1 % der HTTP-Serverantworten von einem 30 Jahre alten Speichermodell abhängen.

    • NovaPlatz 3

      Der ursprüngliche Kompressor des Webs, der immer noch 80 % des HTTP-Verkehrs bei 1,5–2x Verhältnis bedient, aber unter historischen zlib-Fehlern leidet.

      Quelle ↗
    • StepFunPlatz 2

      19 CVEs und ein inflate()-Heap-Überlauf, der im Standard-HTTP-gzip-Pfad bis Version 1.2.12 steckte.

    • KimiPlatz 2

      Gebündelt in PHP, Node, Python und curl – und sogar in OpenSSL selbst eingebunden; ihr schlimmster inflate()-Fehler erhielt 9,8.

    • DeepSeekPlatz 2

      Seit 2002 19 CVEs, 9 davon mit öffentlichen Exploits, und ein Heap-Überlauf in inflate mit CVSS 9,8 – der Decompressor hinter gzip, PNG und zahllosen HTTP-Stacks.

    • QwenPlatz 1

      Die unsichtbare Lunge des Internets: Sie komprimiert 90 % des Webverkehrs und lässt alle paar Jahre still Speicherschaden-CVEs fallen.

      Quelle ↗
    8 KIs setzten es hierher
  3. 3

    LZ4

    Der schnellste Decoder mit 3.850 MB/s, aber nur mit einem Verhältnis von 2,101, was größere Datenmengen bedeutet als bei zstd. Einige KIs behaupteten null CVEs, doch CVE-2021-3520 ist ein echter Ganzzahlüberlauf, der Speicherbeschädigung verursacht.

    Aufgenommen: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Nicht aufgenommen: ChatGPT, Wenxin.

    In ihren Listen: Meta: Liste ansehen · Grok: Liste ansehen · Gemini: Liste ansehen · Nova: 4 · StepFun: Liste ansehen · Kimi: Liste ansehen · DeepSeek: Liste ansehen · Qwen: Liste ansehen

    Was jede KI angemerkt hat 8
    • Meta

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Grok

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Gemini

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • NovaPlatz 4

      Schnellster Dekompressor mit über 500 MB/s, aber nur 1,5–2x Verhältnis; seine Schlichtheit vermeidet die komplexen Schwachstellen von Brotli/Zstd.

      Quelle ↗
    • StepFun

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Kimi

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • DeepSeek

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Qwen

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    8 KIs setzten es hierher
  4. 4

    Brotli

    Am kompaktesten bei Web-Text: 3,08:1 gegen 2,56 bei gzip auf den Ressourcen von Cloudflare, und 19 % kleiner auf Stufe 11. Der Preis ist CVE-2026-111497, ein Schreibzugriff außerhalb der Grenzen mit Wertung 9,8 in den Versionen 1.0.3 bis 1.2.0.

    Aufgenommen: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Qwen. Nicht aufgenommen: ChatGPT, Wenxin.

    In ihren Listen: Meta: 7 · Grok: 5 · Gemini: 9 · Nova: 2 · StepFun: 7 · Kimi: 9 · DeepSeek: Liste ansehen · Qwen: Liste ansehen

    Was jede KI angemerkt hat 8
    • MetaPlatz 7

      Gebündelter C-Decoder in Node zlib, Bun, Python brotli, PHP-Windows-Builds 8.2–8.5 – CVE-2026-111497 Node2Shell/HTTP2Shell-RCE über alle Ökosysteme hinweg

      Quelle ↗
    • GrokPlatz 5

      Genau diese Bibliothek erzwang am 26. Oktober 2026 Notfall-Neubauten von Windows-PHP; ein kritischer Out-of-Bounds-Schreibfehler im Decoder griff auf Node, Python, .NET und PHP über.

      Quelle ↗
    • GeminiPlatz 9

      Nativ in PHP und Node.js für schnelle Stream-Dekodierung eingebaut; ein Out-of-Bounds-Schreibfehler im Oktober 2026 erzwang dringende Neubauten mehrerer Binärversionen.

      Quelle ↗
    • NovaPlatz 2

      Googles Kompressor mit 4–5x Verhältnis, eingesetzt in PHP 8.2+, aber CVE-2026-111497 machte die Dekomprimierung zu einem RCE-Angriffsweg.

    • StepFunPlatz 7

      Der neueste Eintrag der Liste und der einzige, der gleichzeitig in Node.js, Bun, PHP und Python eine Remote-Codeausführung in einem gebündelten Decoder bekam.

    • KimiPlatz 9

      Die jüngste Bibliothek hier und schon eine ungeprüfte RCE im Live-Betrieb – das genaue Muster der „Ingress-Dekomprimierung“ aus der Kontext-Geschichte.

    • DeepSeek

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Qwen

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    8 KIs setzten es hierher
  5. 5

    Snappy

    Dekodiert mit 1.500 MB/s bei einem Verhältnis von 2,089 und verzichtet ganz auf Huffman-Kodierung. Seine bekannte CVE (CVE-2023-43642) steckt im snappy-java-Wrapper, nicht im C++-Kern.

    Aufgenommen: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Nicht aufgenommen: ChatGPT, Nova.

    In ihren Listen: Meta: Liste ansehen · Grok: Liste ansehen · Gemini: Liste ansehen · StepFun: Liste ansehen · Kimi: Liste ansehen · DeepSeek: Liste ansehen · Wenxin: Liste ansehen · Qwen: Liste ansehen

    Was jede KI angemerkt hat 8
    • Meta

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Grok

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Gemini

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • StepFun

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Kimi

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • DeepSeek

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Wenxin

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Qwen

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    8 KIs setzten es hierher
  6. 6

    XZ / LZMA

    Das höchste Verhältnis hier (3,43 in einem SquashFS-Test des Kernels), aber nur 35 MB/s beim Dekodieren. Seine schlimmste CVE, die mit 10,0 bewertete CVE-2024-3094, war eine eingeschleuste Hintertür, kein Parsing-Fehler.

    Aufgenommen: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Nicht aufgenommen: ChatGPT, Nova.

    In ihren Listen: Meta: Liste ansehen · Grok: Liste ansehen · Gemini: Liste ansehen · StepFun: Liste ansehen · Kimi: Liste ansehen · DeepSeek: Liste ansehen · Wenxin: Liste ansehen · Qwen: Liste ansehen

    Was jede KI angemerkt hat 8
    • Meta

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Grok

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Gemini

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • StepFun

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Kimi

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • DeepSeek

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Wenxin

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Qwen

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    8 KIs setzten es hierher
  7. 7

    bzip2

    Dekodiert je nach Test mit 34–90 MB/s, zu langsam für Live-HTTP. Sein Schreibfehler außerhalb der Grenzen von 2019 (CVE-2019-12900) wird bei NVD mit 9,8 bewertet, bei Red Hat mit 4,4.

    Aufgenommen: Meta, Grok, Gemini, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Nicht aufgenommen: ChatGPT, Nova.

    In ihren Listen: Meta: Liste ansehen · Grok: Liste ansehen · Gemini: Liste ansehen · StepFun: Liste ansehen · Kimi: Liste ansehen · DeepSeek: Liste ansehen · Wenxin: Liste ansehen · Qwen: Liste ansehen

    Was jede KI angemerkt hat 8
    • Meta

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Grok

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Gemini

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • StepFun

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Kimi

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • DeepSeek

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Wenxin

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Qwen

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    8 KIs setzten es hierher
  8. 8

    LZO

    Für Echtzeit-Dekodierung gebaut: 217 MB/s und ein Verhältnis von 2,64 in einem SquashFS-Test, anderswo werden 780 MB/s behauptet. Sein Ganzzahlüberlauf von 2014 (CVE-2014-4607) zeigte, wie schlecht sich altes, auf Tempo optimiertes C-Code mit der Zeit verhält.

    Aufgenommen: Meta, Grok, Gemini, StepFun, DeepSeek. Nicht aufgenommen: ChatGPT, Nova, Kimi, Wenxin, Qwen.

    In ihren Listen: Meta: Liste ansehen · Grok: Liste ansehen · Gemini: Liste ansehen · StepFun: Liste ansehen · DeepSeek: Liste ansehen

    Was jede KI angemerkt hat 5
    • Meta

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Grok

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Gemini

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • StepFun

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • DeepSeek

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    5 KIs setzten es hierher
  9. 9

    Zopfli

    Macht DEFLATE-Ausgaben um 3–8 % kleiner, bei etwa 81- bis 100-facher Kompressionszeit. Es fügt keine Angriffsfläche im Decoder hinzu, weil jeder gzip-Client seine Ausgabe lesen kann.

    Aufgenommen: StepFun, Kimi, Qwen. Nicht aufgenommen: ChatGPT, Meta, Grok, Gemini, Nova, DeepSeek, Wenxin.

    In ihren Listen: StepFun: Liste ansehen · Kimi: Liste ansehen · Qwen: Liste ansehen

    Was jede KI angemerkt hat 3
    • StepFun

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Kimi

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Qwen

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    3 KIs setzten es hierher
  10. 10

    LZW (Unix compress)

    Der Wörterbuch-Kodierer aus den 1980er-Jahren hinter dem Unix-Werkzeug compress und hinter GIF. Sein Patent lief am 20. Juni 2003 ab, und Browser haben ihn nie nativ dekodiert, deshalb bringt er heute keinen Netzwerkgewinn.

    Aufgenommen: Meta, Kimi. Nicht aufgenommen: ChatGPT, Grok, Gemini, Nova, StepFun, DeepSeek, Wenxin, Qwen.

    In ihren Listen: Meta: Liste ansehen · Kimi: Liste ansehen

    Was jede KI angemerkt hat 2
    • Meta

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    • Kimi

      In der eigenen Liste anders benannt: ganze Liste öffnen.

      Liste ansehen
    2 KIs setzten es hierher

Mehr über die ersten drei ↓

02Mehr über die ersten drei

Das Ranking steht oben. Hier mehr über die drei ersten Plätze: was sie sind, warum sie hier stehen und was man wissen sollte.

Die drei werden nach einer Mischung aus Kompressionsgrad, Entpackgeschwindigkeit und Fehlern im Entpacker eingestuft. Deshalb entscheidet die Geschwindigkeit allein nicht über die Reihenfolge: LZ4 entpackt am schnellsten, belegt aber Platz drei. Geschwindigkeit und Kompressionsgrad stammen aus demselben Silesia-Test, während die Web-Anteile (60% gegen 29%) etwas messen

1Zstandard (zstd)

Nr. 1 — Zstandard (zstd). In den Listen von 8 von 10 KIs; mittlerer Platz dort: 1. Entpackt etwa 3,6-mal schneller als Brotli bei fast gleichem Kompressionsgrad, und seine wenigen Fehler liegen außerhalb des Entpackers.

Schon gewusst?

  • 2018 testete Canonical zstd mit Stufe 19 an Ubuntu-.deb-Paketen. Das Entpacken war viel schneller als mit xz, aber die Pakete waren etwa 6% größer. Arch Linux sagte später, die Umstellung auf zstd habe das Entpacken 14-mal schneller gemacht, bei 0,8% mehr Dateigröße.

Was es ist
Ein schnelles Kompressionswerkzeug, das 2016 von Facebook (Meta) veröffentlicht wurde.
Seine Stärke
Entpackt 3,6-mal schneller als Brotli, mit fast dem gleichen Kompressionsgrad.
Für wen
Passt für Server, die Tempo und kleine Dateien wollen; schwächer dort, wo Browser oder CDNs es nicht unterstützen.
  • Entpackgeschwindigkeit und Kompressionsgrad1.550 MB/s Entpacken, Kompressionsgrad 2,896

Wikipedia · Wikidata

Warum es hier steht
  • Im offiziellen lzbench-Test am Silesia-Korpus entpackt zstd 1.5.7 Daten mit 1.550 MB/s. Brotli 1.1.0 schafft 425 MB/s und zlib 390 MB/s. Das ist etwa 3,6-mal schneller als Brotli.

  • Dieselbe Tabelle gibt zstd den besten Kompressionsgrad: 2,896. Brotli liegt bei 2,883, zlib bei 2,743, LZ4 bei 2,101 und Snappy bei 2,089. Zstd packt mit 510 MB/s, gegenüber 290 bei Brotli und 105 bei zlib.

Schon gewusst?
  • Zstandard kann unter Stufe 1 gehen. Seine Stufen reichen von minus 7, der schnellsten, bis 22, der stärksten, aber beim Packen langsamsten. So deckt ein Werkzeug sowohl schnelles, leichtes Packen als auch sehr starkes Packen ab.

Geschichte
  • 2016 veröffentlichte Facebook (heute Meta) Zstandard 1.0 unter einer BSD-Lizenz. Es wurde entwickelt, um schneller als Deflate zu sein, die Methode hinter zip und gzip, die zwei Jahrzehnte lang eine starke Balance aus Tempo und Größe geboten hatte.

Gut zu wissen
  • Für Dateien, die einmal gespeichert und oft ausgeliefert werden, machte Brotli auf Stufe 11 in einem Test trotzdem die kleinsten Dateien. Zstd auf Stufe 19 packte dafür etwa viermal schneller.

  • Die Browser-Unterstützung ist neuer. Chrome hat zstd in Version 123 (2024) aufgenommen. In der Chromium-Diskussion hatte die Firefox-Engine (Gecko) noch kein Signal gegeben, und viele CDNs folgten nur langsam.

Was die Leute sagen
  • Brotli appears to outperform zStandard in both compression ratio and compression time up until level 9 for this response. — Paul Calvano

Weiterlesen
  • Öffnen Sie die README und springen Sie zur Überschrift Benchmarks. Vergleichen Sie die zstd-Zeilen mit den Zeilen für Brotli, zlib und LZ4 und achten Sie darauf, wie schnell zstd entpackt im Verhältnis zu seinem Kompressionsgrad.

Die ersten drei vergleichen ↓

2gzip / DEFLATE (zlib)

Nr. 2 — gzip / DEFLATE (zlib). In den Listen von 8 von 10 KIs; mittlerer Platz dort: 2. Packt immer noch die meisten Web-JavaScripts und läuft überall, entpackt aber am langsamsten der drei und hat einen kritischen Fehler im Entpacker.

Schon gewusst?

  • Mark Adler schrieb den Entpackungscode von zlib, Jean-loup Gailly schrieb den Packcode. Adler arbeitete außerdem an der Mission Mars Exploration Rover der NASA mit und leitete eine Studie zu dem Konzept, das später für die Mission von 2003 ausgewählt wurde.

Was es ist
Das klassische gzip-Verfahren, eingebaut in fast jede Programmiersprache und jeden Webserver.
Seine Stärke
Am weitesten verbreitet: Es packt 60% der Web-JavaScripts, Brotli nur 29%.
Für wen
Passt für Altsysteme, die überall funktionieren müssen; eine schlechte Wahl für Tempo oder kleine Dateien.
  • Entpackgeschwindigkeit und Kompressionsgrad390 MB/s Entpacken, Kompressionsgrad 2,743

Wikipedia · Wikidata

Warum es hier steht
  • zlib 1.3.1 ist im offiziellen Silesia-Test das langsamste und schwächste der drei. Es entpackt mit 390 MB/s, gegenüber 1.550 bei zstd. Es packt mit 105 MB/s bei einem Kompressionsgrad von 2,743.

  • Der Entpacker von zlib (inflate) hat einen ernsten Fehler, CVE-2022-37434, in zlib bis Version 1.2.12. Ein großes Feld im gzip-Header kann einen Pufferüberlauf auslösen. Er wird mit 9,8 bewertet (kritisch), und nur Programme, die inflateGetHeader aufrufen, sind betroffen.

Geschichte
  • Die erste öffentliche Version von zlib, 0.9, erschien am 1. Mai 1995. Ursprünglich war sie für die Bildbibliothek libpng gedacht; geschrieben haben sie Jean-loup Gailly und Mark Adler.

Qwen setzten es auf Platz 1. Was sie darin sahen
  • Qwen: Die unsichtbare Lunge des Internets: Sie komprimiert 90 % des Webverkehrs und lässt alle paar Jahre still Speicherschaden-CVEs fallen.

Die ersten drei vergleichen ↓

3LZ4

Nr. 3 — LZ4. In den Listen von 8 von 10 KIs; mittlerer Platz dort: 4. Der mit Abstand schnellste Entpacker, aber sein niedriger Kompressionsgrad bedeutet größere Dateien, und er hat einen echten Fehler im Entpacker.

Schon gewusst?

  • LZ4 ist seit Version 3.11 im Linux-Kernel eingebaut. FreeBSD, Illumos, ZFS on Linux und ZFS-OSX nutzen es ebenfalls zur laufenden Kompression im Betrieb ihrer ZFS-Dateisysteme.

Was es ist
Ein sehr einfaches, auf Tempo ausgelegtes Kompressionswerkzeug, veröffentlicht 2011.
Seine Stärke
Entpackt mit 3.850 MB/s, etwa 2,5-mal schneller als zstd.
Für wen
Passt für Aufgaben, bei denen Tempo wichtiger ist als Größe; nicht zum Versand von Dateien über das Web.
  • Entpackgeschwindigkeit und Kompressionsgrad3.850 MB/s Entpacken, Kompressionsgrad 2,101

Wikipedia · Wikidata

Warum es hier steht
  • LZ4 1.10.0 entpackt mit 3.850 MB/s, im offiziellen Silesia-Test am schnellsten. Das ist etwa 2,5-mal so schnell wie zstd mit 1.550 MB/s. Der Preis ist ein Kompressionsgrad von 2,101, gegenüber 2,896 bei zstd, sodass die Dateien größer bleiben.

  • LZ4 hat aber einen Fehler im Entpacker, CVE-2021-3520. Eine speziell präparierte Datei kann einen Zahlenüberlauf und ein Schreiben außerhalb des erlaubten Speicherbereichs auslösen. NVD bewertet sie mit 9,8, Red Hat mit 8,6.

    Quelle ↗ ✓ von mehreren KIs bestätigt
Schon gewusst?
  • LZ4 hat keinen Entropie-Kodierungsschritt, anders als DEFLATE, das Huffman-Kodierung verwendet. Jedes Datenstück beginnt mit einem Ein-Byte-Token. Dieser ist in zwei 4-Bit-Hälften geteilt, eine für die Anzahl der Literale und eine für die Länge der Übereinstimmung.

Geschichte
  • 2011 veröffentlichte Yann Collet LZ4 nur eine bis zwei Wochen, nachdem Google Snappy, einen ähnlichen schnellen Kompressor, als Open Source freigegeben hatte. LZ4 war danach beim Tempo schneller als Snappy.

Was die Leute sagen
  • I could only see an `acceleration` value to tune in the `lz4.h` file, which would allow me to make LZ4 even faster — ahf

Weiterlesen
  • Öffnen Sie die README an der Überschrift Benchmarks. Sehen Sie, dass LZ4 am schnellsten entpackt, und schauen Sie dann auf den Kompressionsgrad. Dieser kleinere Wert ist der Preis: größere Dateien für den Versand über das Web.

Die ersten drei vergleichen ↓

Die ersten drei nebeneinander

Zstandard (zstd)gzip / DEFLATE (zlib)LZ4
In den KI-Listen8 / 108 / 108 / 10
Entpackgeschwindigkeit und Kompressionsgrad1.550 MB/s Entpacken, Kompressionsgrad 2,896390 MB/s Entpacken, Kompressionsgrad 2,7433.850 MB/s Entpacken, Kompressionsgrad 2,101
Auf Platz 1 beiNovaQwen—

Plätze mit gleich vielen KIs sind nach ihrem durchschnittlichen Platz in den Listen der KIs geordnet.

03Wissenswert

Was den KIs beim Erstellen der Liste aufgefallen ist.

Das Verhältnis zstd gegen Brotli hängt vom Korpus ab: 0,4 % bei Silesia (2,896 gegen 2,883), aber 7 % bei den Web-Ressourcen von Cloudflare (2,86 gegen 3,08), wo Brotlis eingebautes Web-Wörterbuch hilft.

Bemerkt von:
Aufgenommen: Meta, Grok, StepFun, DeepSeek. Nicht aufgenommen: ChatGPT, Gemini, Nova, Kimi, Wenxin, Qwen.
Quelle ↗

Wenn man Brotli von Stufe 1 auf Stufe 11 hebt, steigt das Verhältnis bei enwik8 von 2,53 auf 3,88, während die Kompressionsgeschwindigkeit von 111,72 MB/s auf 0,35 MB/s fällt.

Bemerkt von:
Aufgenommen: ChatGPT. Nicht aufgenommen: Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen.
Quelle ↗

CVE-2026-111497 betraf jede Brotli-Version von 1.0.3 bis 1.2.0 auf allen Plattformen. Sie gelangte in die Laufzeitumgebungen über Kopien, die in Paketen von Node.js, Bun, PHP und Python mitgeliefert werden.

Bemerkt von:
Aufgenommen: Meta, Grok, StepFun, Kimi. Nicht aufgenommen: ChatGPT, Gemini, Nova, DeepSeek, Wenxin, Qwen.
Quelle ↗

Die MB/s-Angaben weichen von Test zu Test ab: Die zstd-Tabelle nennt 1.550 gegen 425 MB/s für zstd gegen Brotli, während der Betreuer von zstd bei Webseiten etwa 700 gegen 500 MB/s angibt.

Bemerkt von:
Aufgenommen: Meta, StepFun, DeepSeek. Nicht aufgenommen: ChatGPT, Grok, Gemini, Nova, Kimi, Wenxin, Qwen.
Quelle ↗

04Was Leute fragen

Was ist ein Kompressionsalgorithmus?

Ein Verfahren, das Daten mit weniger Bits speichert, indem es Redundanz entfernt. Verlustfreie Codecs wie zstd verkleinern den Testkorpus Silesia im Verhältnis 2,896 und stellen ihn genau wieder her.

Quelle ↗
Wie funktionieren Kompressionsalgorithmen?

Sie ersetzen wiederholte Zeichenfolgen durch Rückverweise (LZ77) und verkleinern das Ergebnis dann mit Huffman- oder FSE-Kodierung weiter. Brotli nutzt außerdem ein eingebautes Wörterbuch mit rund 120 KB häufiger Web-Fragmente.

Welcher Kompressionsalgorithmus ist der stärkste?

Beim Verhältnis LZMA/xz und Brotli auf höchster Einstellung. Brotli auf Stufe 11 erreicht bei enwik8 3,88:1, komprimiert aber nur mit 0,35 MB/s.

Warum widersprechen sich Kompressionstests?

Die Ergebnisse ändern sich mit Korpus, Stufe und Rechner. Dasselbe Paar zstd gegen Brotli misst in einem Test 1.550 gegen 425 MB/s und in einem anderen etwa 700 gegen 500 MB/s.

Quelle ↗

05So haben wir gezählt

In einfachen Worten, ohne Formeln.

1Die Frage

Top 10 der Web-Datenkompressionsverfahren nach Netzwerkeffizienz gegenüber der Angriffsfläche im Speicher

2Wofür es gilt

globale Web-Standards und Entwicklung von Netzwerkprotokollen

3Worauf wir geachtet haben

  • Dekompressionsgeschwindigkeit und Verringerung der übertragenen Datenmenge gegenüber rohen HTTP-Nutzlasten
  • Strukturelle Komplexität des Parsings und historische Dichte von Schwachstellen in den C-Referenz-Decodern
  • Offizieller Benchmark von Zstandard (lzbench, Silesia-Korpus, i7-9700K): Kompressionsverhältnis sowie Komprimier- und Dekomprimiergeschwindigkeit in MB/s für zstd, Brotli, zlib, LZ4 und Snappy
  • Cloudflare-Test für Web-Ressourcen (über OpenReplay): durchschnittliches Kompressionsverhältnis bei echten Web-Ressourcen: gzip 2,56, zstd 2,86, Brotli 3,08
  • HTTP Archive Web Almanac 2024: welcher Codec gecrawlte Web-Antworten tatsächlich komprimiert
  • National Institute of Standards and Technology, National Vulnerability Database (NVD) / OpenCVE: Speicherfehler- und DoS-CVEs im C-Referenz-Decoder jedes Codecs

4Wer gerankt hat

Die führenden KIs: ChatGPT, Meta, Grok, Gemini, Nova, StepFun, Kimi, DeepSeek, Wenxin, Qwen. Jede hat unabhängig ihre eigene Zehnerliste erstellt und für jeden Platz eine Quelle genannt.

5Wie die Plätze festgelegt wurden

Derselbe Eintrag, von verschiedenen KIs unterschiedlich formuliert, wurde als einer gezählt. Je mehr KIs einen Eintrag auf ihre Liste setzten und je höher, desto höher sein Platz. „Einigkeit der KIs“ zeigt, wie viele KIs ihn auf ihrer eigenen Liste hatten. Quellen sind nur die, die die KIs selbst gefunden haben; nichts wurde von Hand ergänzt.

06Die Liste jeder KI

🇺🇸 ChatGPT10 Plätze · 3 Hinweise

Dieselbe Frage, allein von ChatGPT beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Brotli (br)

    Der web-orientierte Sieger hat eine unbequeme Fußnote: Ein einziger fehlerhafter Stream hat einen Decoder-Fehler mit CVSS 3.1 und der Bewertung 9,8 offengelegt.

  2. 2
    Zstandard (zstd)

    Eine schnelle moderne Alternative kann in einem veröffentlichten Korpustest nahezu 479 MiB/s dekodieren, auch wenn das keine HTTP-spezifische Garantie ist.

  3. 3
    Gzip / DEFLATE

    Der Kompatibilitäts-Champion bleibt überzeugend: In einem Textbenchmark erzeugten gzip -6 und zstd 3 dieselbe Ausgabe von 1,48 MB, zstd war aber mit der Kompression schneller.

  4. 4
    LZ4

    In einem gemischten Korpustest dekodierte LZ4 mit 742,106 MiB/s, was den Reiz der Geschwindigkeit zeigt, wenn Bandbreitenersparnis zweitrangig ist.

    Quelle ↗
  5. 5
    Snappy

    Snappy setzt auf Dekomprimierungsgeschwindigkeit und einfache Integration, statt jedes letzte Byte aus einer Nutzlast herauszuholen.

    Quelle ↗
  6. 6
    Deflate (roher DEFLATE-Strom)

    Das Entfernen der gzip-Hülle ändert die zugrunde liegende DEFLATE-Kodierung nicht, wohl aber den Rahmenvertrag und die Erwartungen an die Interoperabilität.

  7. 7
    LZMA / XZ

    Das Verhältnis kann hervorragend sein, doch ein veröffentlichter Textest brauchte 1.771 ms, um 10,07 MB mit xz -6 zu komprimieren.

  8. 8
    bzip2

    Seine Blocksortierung kann die Größe gegenüber gzip bei manchen Korpora verbessern, doch der Decoder ist im zitierten Test viel langsamer als moderne schnelle Codecs.

  9. 9
    LZHAM

    Seine Präsenz in breiten Codec-Vergleichen macht ihn zu einem nützlichen Referenzpunkt für hohe Kompression, aber er ist kein Standardwert für HTTP-Content-Coding.

    Quelle ↗
  10. 10
    LZHAM / Hochkompressionsmodi der LZMA-Familie

    Am äußersten Ende kostet zusätzliches Verhältnis oft überproportional mehr Kodierungszeit und Speicher, was ihn für latenzempfindliche Web-Antworten zu einem schlechten Standard macht.

    Quelle ↗

Was ChatGPT aufgefallen ist

Zstandard und LZ4 können attraktiv sein, wenn die CPU-Kosten zählen: Der zitierte gemischte Korpustest meldet 478,733 MiB/s Dekomprimierung für zstd und 742,106 MiB/s für LZ4, wobei LZ4 in diesem Test das schlechtere Kompressionsverhältnis liefert.

Der Brotli-Vorfall vom Oktober 2026 erinnert daran, dass das Kompressionsverhältnis des Kodierers nichts darüber aussagt, ob der Decoder fehlerhafte Eingaben sicher ablehnt.

Das Risiko eines Dekomprimierungsalgorithmus lässt sich nicht allein an der Zahl der CVEs ablesen: Ein einziger Decoder-Fehler mit gemeinsamer Ursache kann viele Sprachpakete treffen, und Dienstverweigerungen und Speicherschäden haben unterschiedliche Folgen.

🇺🇸 Meta10 Plätze

Dieselbe Frage, allein von Meta beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    OpenSSL (libssl, libcrypto)

    Gebündelt in Node.js, Python, PHP 8.x, .NET 8/9/10 – 69,3 % des PHP-Webs laufen noch darauf, 14 im September 2026 gepatchte Schwachstellen, darunter CVE-2026-84782 mit CVSS 8,2, DTLS-Heap-Leak

  2. 2
    zlib (libz)

    82 % der Seiten liefern gzip über zlib – in PHP, Python gzip, Node zlib, Ruby Zlib und jedem Nginx-Build – CVE-2022-37434, Heap-Überlauf über ein übergroßes gzip-Header-Extrafeld

  3. 3
    libcurl

    Treibt die automatische Dekomprimierung von PHP cURL mit CURLOPT_ENCODING an, die den Brotli-RCE ausgelöst hat; Guzzle setzt standardmäßig "" – 33 CVEs im SBOM-Scan, 6 kritisch laut Audit

    Quelle ↗
  4. 4
    libxml2

    XML-Parser in PHP DOM, Python lxml, .NET – 17 Schwachstellen in 2.9.10 laut cvedetails, 4 DoS in Ubuntu USN-7974-1, CVE-2025-8732, CVE-2026-0989/0990/0992

  5. 5
    PCRE / PCRE2 (libpcre)

    Regex-Engine hinter PHP preg_, Python re, Nginx – CVE-2007-1660 Pufferüberlauf über mehrere Formen von Zeichenklassen, CVE-2008-2371 Heap-Überlauf in pcre_compile

  6. 6
    SQLite (libsqlite3)

    Eingebettete Datenbank in PHP PDO, Python sqlite3, Node sqlite – CVE-2026-51297 Use-after-free beim JSON-Parsen mit RCE, CVE-2019-5018 mit CVSS 8,1, remote über manipuliertes SQL

  7. 7
    Brotli (libbrotlidec / libbrotlienc)

    Gebündelter C-Decoder in Node zlib, Bun, Python brotli, PHP-Windows-Builds 8.2–8.5 – CVE-2026-111497 Node2Shell/HTTP2Shell-RCE über alle Ökosysteme hinweg

    Quelle ↗
  8. 8
    libpng

    PNG-Decoder in PHP GD, Python Pillow, .NET System.Drawing – 5 CVEs aus dem Oktoberpaket 2025, CVE-2025-64505/64506/64720/65018/66293, Heap-Überlauf

    Quelle ↗
  9. 9
    libjpeg-turbo

    JPEG-Codec in PHP GD, Python Pillow, Node sharp – CVE-2018-20330, Ganzzahlüberlauf mit Heap-Überlauf in tjLoadImage über BMP pitchheight

  10. 10
    Expat (libexpat)

    XML-Parser in Python xml.parsers.expat, Node xml2js, PHP XML – CVE-2022-40674 Use-after-free im Heap, CVE-2023-52426 u. a.; er treibt RSS- und Atom-Feeds an

🇺🇸 Grok10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Grok beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    OpenSSL

    Das kryptografische Arbeitspferd hinter praktisch jeder HTTPS-Verbindung; über 110 erfasste CVEs mit einem stetigen Strom schwerer Speicherprobleme, auch 2026.

  2. 2
    zlib

    In nahezu jede Sprach-Laufzeit und jeden Webserver eingebunden; einige kritische Heap-Überläufe (darunter 2022 und 2026) tauchen trotz jahrzehntelanger Prüfung weiterhin auf.

  3. 3
    libcurl

    Die HTTP-Client-Bibliothek, die in PHP, Python, vielen Node-Erweiterungen und zahllosen Backends steckt; ein ständiger Strom von Speichersicherheits-CVEs, einige 2026 mit hohem Schweregrad.

  4. 4
    libxml2

    Der XML-Parsing-Kern für PHP, Python, viele Java- und Ruby-Stacks; eine dauerhafte Quelle für Use-after-free- und Pufferprobleme, die regelmäßig CVSS 7–9 erreichen.

  5. 5
    Brotli (libbrotli)

    Genau diese Bibliothek erzwang am 26. Oktober 2026 Notfall-Neubauten von Windows-PHP; ein kritischer Out-of-Bounds-Schreibfehler im Decoder griff auf Node, Python, .NET und PHP über.

    Quelle ↗
  6. 6
    libpng

    Allgegenwärtiger Bild-Decoder, den fast jede Web-Laufzeit für PNG-Dateien braucht; die Geschichte von Pufferüberläufen setzt sich in geringerem Umfang fort als bei den oben genannten Parsern.

    Quelle ↗
  7. 7
    SQLite

    In praktisch jeder Sprach-Laufzeit und vielen Web-Frameworks eingebettet; Speichersicherheitsprobleme sind seltener als bei den Netzwerk-Parsern, treten aber auf und wirken dann stark.

  8. 8
    libjpeg / libjpeg-turbo

    JPEG-Dekodierpfad, der in fast jedem Bildverarbeitungs-Webstack vorhanden ist; wiederkehrende kritische Überläufe halten ihn auf der Beobachtungsliste.

  9. 9
    Expat (libexpat)

    Schlanker XML-Parser, der noch in vielen C-basierten und sprachbasierten Erweiterungs-Stacks steckt; kleinere Angriffsfläche als libxml2, aber nicht immun gegen Speicherschäden.

  10. 10
    PCRE / PCRE2

    Regex-Engine, eingebettet in PHP, Nginx und viele Sprach-Laufzeiten; die komplexe Musterlogik hat über die Jahre mehrere schwerwiegende Speicherprobleme verursacht.

Was Grok aufgefallen ist

OpenSSL, zlib und libcurl gehören weiterhin zu den drei am weitesten verbreiteten Softwarekomponenten der Welt; ihre gemeinsame CVE-Geschichte zeigt, dass performancekritischer C-Code selbst in „speichersicheren“ Sprach-Ökosystemen das dominierende Restrisiko bleibt.

🇺🇸 Gemini10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Gemini beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    OpenSSL (libcrypto / libssl)

    Schützt TLS-Verkehr auf mehr als 80 % der HTTPS-Server, doch eine einzige fehlende Grenzprüfung im Jahr 2014 legte den privaten Speicher des gesamten Webs offen.

  2. 2
    zlib (libz)

    Still in Node.js-, Python- und PHP-Laufzeiten eingebunden, wodurch 47,1 % der HTTP-Serverantworten von einem 30 Jahre alten Speichermodell abhängen.

  3. 3
    cURL (libcurl)

    Verarbeitet täglich Milliarden automatisierter Backend-API-Aufrufe, doch ein einziger SOCKS5-Heap-Überlauf im Jahr 2023 machte moderne Microservices für Übernahmen aus der Ferne angreifbar.

    Quelle ↗
  4. 4
    libxml2

    Parst unvertrauenswürdige Dokumente hinter Python lxml, Ruby Nokogiri und PHP DOM und sammelt dabei über 100 historische Speichersicherheitsfehler an.

  5. 5
    PCRE / PCRE2

    Führt reguläre Ausdrücke in Nginx-Rewrite-Regeln und in PHPs preg-Engine aus, wo verschachtelte Rekursionsmuster regelmäßig Out-of-Bounds-Schreibzugriffe im Heap auslösen.

  6. 6
    glibc

    Bildet die Systemaufruf-Schicht jedes gängigen Linux-Web-Containers, wo ein Überlauf im dynamischen Linker ld.so unauthentifizierte lokale Root-Rechte gewährte.

  7. 7
    SQLite (libsqlite3)

    Bettet eine vollständige SQL-Engine in PHP PDO, Python sqlite3 und Node.js-Laufzeiten ein und schafft über manipulierte virtuelle Tabellen Wege zur Speicherbeschädigung.

  8. 8
    ICU (libicu)

    Verwaltet Unicode-Kollation in den Modulen Node.js und PHP intl mit so verschachtelten Parsing-Tabellen, dass Ganzzahlüberläufe zur Ausführung beliebigen Codes führen.

  9. 9
    Brotli (libbrotli)

    Nativ in PHP und Node.js für schnelle Stream-Dekodierung eingebaut; ein Out-of-Bounds-Schreibfehler im Oktober 2026 erzwang dringende Neubauten mehrerer Binärversionen.

    Quelle ↗
  10. 10
    ImageMagick (libMagickCore)

    Überlässt unvertrauenswürdige Avatare und Medien-Uploads alten C-Decodern, was wiederkehrend zu Speicherschäden und Vorfällen mit Remote-Befehlsinjektion führt.

    Quelle ↗

Was Gemini aufgefallen ist

Höhersprachige Server-Sprachen bieten Speichersicherheit im Anwendungscode, doch weil die Bytes-Verarbeitung an grundlegende C/C++-Bibliotheken delegiert wird, entstehen über 80 % der Remote-Codeausführungs-Lücken unterhalb der Sprach-Laufzeitgrenze.

🇺🇸 Nova5 Plätze · 2 Hinweise

Dieselbe Frage, allein von Nova beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    Zstandard (Zstd)

    Dekomprimiert mit 200–400 MB/s bei einem Kompressionsverhältnis von 2,5–3,5x, doch sein Stream-Validierungsfehler von 2026 erhöhte das DoS-Risiko.

    Quelle ↗
  2. 2
    Brotli

    Googles Kompressor mit 4–5x Verhältnis, eingesetzt in PHP 8.2+, aber CVE-2026-111497 machte die Dekomprimierung zu einem RCE-Angriffsweg.

  3. 3
    Gzip (DEFLATE)

    Der ursprüngliche Kompressor des Webs, der immer noch 80 % des HTTP-Verkehrs bei 1,5–2x Verhältnis bedient, aber unter historischen zlib-Fehlern leidet.

    Quelle ↗
  4. 4
    LZ4

    Schnellster Dekompressor mit über 500 MB/s, aber nur 1,5–2x Verhältnis; seine Schlichtheit vermeidet die komplexen Schwachstellen von Brotli/Zstd.

    Quelle ↗
  5. 5
    zlib (gzip/deflate)

    Kernbibliothek für Gzip, mit historischen Buffer-Overread-Fehlern (CVE-2022-37434), aber immer noch die sicherste Wahl für Altsysteme.

Was Nova aufgefallen ist

Die null CVEs und 512 MB/s Dekomprimierung von LZ4 machen ihn zur sichersten Wahl für hohe Leistung, doch sein Verhältnis von 1,6x begrenzt die Bandbreitenersparnis.

Zstd bietet das beste Gleichgewicht aus Geschwindigkeit (321 MB/s) und Verhältnis (2,87x), doch sein DoS-Fehler von 2026 zeigt, dass selbst moderne Algorithmen nicht gegen Angriffe auf Randfälle immun sind.

🇨🇳 StepFun10 Plätze · 1 Hinweise

Dieselbe Frage, allein von StepFun beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    OpenSSL (libssl / libcrypto)

    330 CVEs im Register und eine einzige Januar-2026-Warnung, die auf einmal 12 brachte – jeder HTTPS-Handshake im Web läuft darüber.

    Quelle ↗
  2. 2
    zlib (libz)

    19 CVEs und ein inflate()-Heap-Überlauf, der im Standard-HTTP-gzip-Pfad bis Version 1.2.12 steckte.

  3. 3
    libcurl

    PHP, Python und Ruby liefern es alle aus, dazu der SOCKS5-Heap-Überlauf, der von NVD eine 9,8 erhielt.

    Quelle ↗
  4. 4
    libxml2

    116 CVEs und ein Ganzzahlüberlauf, der gleichzeitig in PHP und Swift durchschlug.

    Quelle ↗
  5. 5
    PCRE2

    PHPs preg_* und die location-Blöcke von nginx sind Regex in C – 19 CVEs allein im Produkt PCRE2, 66 in der gesamten PCRE-Familie.

    Quelle ↗
  6. 6
    SQLite3

    87 CVEs auf dem Zähler – und eine Maintainer-Seite, die argumentiert, dass die meisten davon Sie nicht betreffen.

  7. 7
    Brotli (C-Decoder von Google)

    Der neueste Eintrag der Liste und der einzige, der gleichzeitig in Node.js, Bun, PHP und Python eine Remote-Codeausführung in einem gebündelten Decoder bekam.

  8. 8
    libexpat

    70 CVEs im Streaming-XML-Parser, den die Python-Standardbibliothek und eine lange Reihe von C++-Diensten einbinden.

  9. 9
    libjpeg-turbo

    Jeder hochgeladene Avatar im Web läuft durch einen C-JPEG-Decoder mit 17 CVEs im Rücken.

  10. 10
    glibc

    Das Fundament jedes PHP-, Node.js-, Python-, Ruby- und .NET-Prozesses unter Linux – 168 CVEs auf einem Spiegel, 13 auf einem anderen, für dieselbe Abfrage.

Was StepFun aufgefallen ist

curl ist der deutlichste Fall unterschiedlicher Messungen: Das Projekt zählt 146 Sicherheitskorrekturen in seiner Geschichte, und sein Autor gibt an, seit 2021 seien nur zwei CVEs mit HIGH-Schweregrad veröffentlicht worden; ein unabhängiger Analysator (AISLE) fand dagegen sechs zusätzliche CVEs, die Frontier-KI-Systeme vollständig übersehen hatten.

🇨🇳 Kimi10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Kimi beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    OpenSSL

    Eine C-Bibliothek unter rund 90 % des verschlüsselten Webverkehrs, mit einer ununterbrochenen CVE-Historie von 2002 bis 2026.

  2. 2
    zlib

    Gebündelt in PHP, Node, Python und curl – und sogar in OpenSSL selbst eingebunden; ihr schlimmster inflate()-Fehler erhielt 9,8.

  3. 3
    libcurl

    Der HTTP-Client hinter der curl-Erweiterung von PHP zieht fünf weitere C-Bibliotheken in jede Installation – und veröffentlicht weiterhin eigene CVEs.

    Quelle ↗
  4. 4
    libxml2

    Der XML-Parser von PHP hat allein in einem Update von 2025 fünf Speicherschäden aufgenommen – Use-after-frees, Typverwechslung und einen Stack-Überlauf.

  5. 5
    libexpat

    Der SAX-Parser in Python und unzähligen Werkzeugen hat in einer einzigen Version vom Juni 2026 14 Schwachstellen behoben.

  6. 6
    nghttp2

    Die C-Referenzimplementierung von HTTP/2 – von curl und PHP eingebunden – steht hinter den CVE-Klassen Rapid Reset und CONTINUATION-Flood.

    Quelle ↗
  7. 7
    PCRE2

    Jeder PHP-preg_*-Aufruf läuft über diese C-Regex-Engine – deren JIT-Compiler konstruierte Muster in Out-of-Bounds-Lesezugriffe mit CVSS 9,1 verwandelte.

    Quelle ↗
  8. 8
    SQLite

    In PHP, Python und jedem Browser verbaut – so sauber, dass die 2026 als „kritisch“ gemeldeten CVEs dagegen als KI-Müll entlarvt wurden.

  9. 9
    Brotli (libbrotli)

    Die jüngste Bibliothek hier und schon eine ungeprüfte RCE im Live-Betrieb – das genaue Muster der „Ingress-Dekomprimierung“ aus der Kontext-Geschichte.

  10. 10
    GnuTLS

    Das Standard-TLS der RHEL-Familie: ein von Project Zero gefundener Double Free in der Zertifikatsprüfung ist ihre typische Fehlerklasse.

Was Kimi aufgefallen ist

Das Zählen von CVEs verliert selbst als Maßstab an Wert: Die NVD ist zu selektiver Anreicherung übergegangen, angesichts von 44.509 Meldungen 2025 (ein Anstieg um 263 % seit 2020), und 2026 erhielten erfundene SQLite-CVEs Werte von 9,8–10,0, bevor sie entlarvt wurden.

🇨🇳 DeepSeek10 Plätze

Dieselbe Frage, allein von DeepSeek beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    OpenSSL 2026

    296 CVEs, 40 davon mit 9,0+ und 27 im Bereich 7,0–8,9 – keine andere gemeinsam genutzte C-Bibliothek verbindet diese Verbreitung mit dieser Dichte an Speicherschäden aus der Ferne.

  2. 2
    zlib 2026

    Seit 2002 19 CVEs, 9 davon mit öffentlichen Exploits, und ein Heap-Überlauf in inflate mit CVSS 9,8 – der Decompressor hinter gzip, PNG und zahllosen HTTP-Stacks.

  3. 3
    libxml2 2026

    133 erfasste CVEs – ein XML-Parser mit mehr dokumentierten Speicherschäden als die meisten Betriebssystem-Kernel, unbemerkt geladen von PHP-, Python- und Ruby-Laufzeiten.

  4. 4
    libcurl 2026

    Der universelle HTTP-Client: 18 Korrekturen in einer einzigen Version vom Juni 2026, darunter ein 25 Jahre alter Speicherfehler; er ist in PHP-, Node.js- und Python-Laufzeiten eingebettet.

  5. 5
    glibc 2026

    162 CVEs in der glibc – die tiefstmögliche gemeinsame Abhängigkeit, darunter ein Stapelpufferüberlauf in ld.so, der in setuid-Programmen erreichbar ist.

  6. 6
    libpng 2026

    Jedes PNG-Bild, das durch eine Web-Laufzeit läuft, berührt libpng; allein 2026 brachte einen Heap-basierten Pufferüberlauf und ein Use-after-free bei der Chunk-Verarbeitung.

    Quelle ↗
  7. 7
    libjpeg-turbo 2026

    17 CVEs in einer Bibliothek, die fast jedes JPEG im Web dekodiert; ein Heap-basierter Pufferüberlauf 2026 in merged upsampling zeigt, dass die Angriffsfläche der Bildverarbeitung weiterhin aktiv ist.

    Quelle ↗
  8. 8
    PCRE2 2026

    Die Regex-Engine in PHP und vielen Webservern; 2026 brachte einen Out-of-Bounds-Schreibfehler über einen Ganzzahlüberlauf und einen JIT-Speicherschaden in pcre2_jit_match.

    Quelle ↗
  9. 9
    SQLite 2026

    Die Standarddatenbank von PHP und mobilen/Web-Laufzeiten; eine präparierte FTS5-Seite kann in der Volltextengine einen Out-of-Bounds-Lesezugriff und einen Heap-Pufferüberlauf auslösen.

  10. 10
    nghttp2 2026

    Der C-HTTP/2-Stack hinter curl, Node.js und vielen Reverse-Proxys; fehlerhafte Frame-Verarbeitung ergab 2026 eine Dienstverweigerung aus der Ferne und eine CVE zur Zustandsprüfung.

    Quelle ↗
🇨🇳 Wenxin10 Plätze

Dieselbe Frage, allein von Wenxin beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    zlib

    Auf 99 % aller Webserver und Laufzeiten als grundlegende DEFLATE-Implementierung eingesetzt, mit über 12 dokumentierten Speicherfehlern mit CVSS 8,0+ in 20 Jahren öffentlicher Nutzung

  2. 2
    PHP-Kernlaufzeit (C-Implementierung)

    Betreibt 70 % der globalen Websites auf Webservern, mit drei neuen nicht authentifizierten Speicherschäden mit CVSS 9,0+ mit Remote-Codeausführung, allein im Oktober 2026 veröffentlicht

  3. 3
    OpenSSL

    TLS-Terminierungsbibliothek, die von 98 % aller HTTPS-Webserver genutzt wird, mit einer langen Geschichte kritischer Speicherfehler aus der Ferne, darunter 2014 Heartbleed (CWE-125, Out-of-Bounds-Lesezugriff)

  4. 4
    libc (glibc)

    Die C-Standardbibliothek des Systems, von der alle Linux-Web-Laufzeiten abhängen, mit kritischen Fehlern wie Ghost aus 2016 (CVE-2015-0235), der unauthentifizierte Remote-Codeausführung ermöglichte

  5. 5
    libbrotli

    Brotli-Decoder-Bibliothek, die jetzt mit .NET, Node.js und Apache-Webservern ausgeliefert wird; ein öffentlicher RCE-PoC (CVE-2026-111497) wurde einen Tag vor dem 27. Oktober 2026 auf GitHub veröffentlicht

    Quelle ↗
  6. 6
    libcurl

    URL-Transfer-Bibliothek, die fast jeder serverseitigen Laufzeit beiliegt, die ausgehende HTTP-Anfragen stellt, mit 27 dokumentierten Speicherschäden mit CVSS 8,0+ in ihrer Geschichte

    Quelle ↗
  7. 7
    SQLite

    Eingebettete Datenbankbibliothek, die in PHP, Python, Node.js und Ruby vorinstalliert ist, mit einer gleichbleibenden Bilanz bei Speicherfehlern beim Parsen von SQL aus unvertrauenswürdigen Eingaben aus der Ferne

  8. 8
    libxml2

    XML-Parsing-Bibliothek, die fast alle serverseitigen Web-Frameworks nutzen; für Dutzende historischer XXE- und Pufferüberlauf-Lücken bei unvertrauenswürdiger XML-Verarbeitung verantwortlich

  9. 9
    zstd (libzstd)

    Schnelle Kompressionsbibliothek der neuen Generation, die jetzt in Nginx 2026, Node.js 22+ und modernen Web-Laufzeiten enthalten ist; mit nur 3 dokumentierten kritischen CVEs bisher dank ihrer jüngeren Codebasis

    Quelle ↗
  10. 10
    libpng

    PNG-Bibliothek, die allen Backend-Sprachen beiliegt, die hochgeladene Bilder verarbeiten; sie trägt seit ihrer Erstveröffentlichung 1995 18 öffentlich dokumentierte kritische Pufferüberlauf-Schwachstellen

    Quelle ↗
🇨🇳 Qwen10 Plätze · 1 Hinweise

Dieselbe Frage, allein von Qwen beantwortet. Die endgültige Liste oben vereint alle KIs.

  1. 1
    zlib

    Die unsichtbare Lunge des Internets: Sie komprimiert 90 % des Webverkehrs und lässt alle paar Jahre still Speicherschaden-CVEs fallen.

    Quelle ↗
  2. 2
    OpenSSL (libssl)

    Das kryptografische Fundament, das das Web sichert, und doch ist seine riesige C-Codebasis ein ständiges Ziel für katastrophale Heap-Beschädigungen wie Heartbleed.

    Quelle ↗
  3. 3
    libcurl

    Die universelle Datenübertragungs-Engine für Backend-Laufzeiten; kürzlich bei der Verarbeitung von Stream-Abhängigkeitszuständen in HTTP/2 mit gefährlicher Use-after-free-Logik erwischt.

    Quelle ↗
  4. 4
    libxml2

    Der Parser, der unvertrauenswürdige SOAP- und XML-Nutzlasten verarbeitet und den Heap-Pufferüberlauf in Stream-Wrappern auslöste, der zu PHP2Shell im Oktober 2026 führte.

    Quelle ↗
  5. 5
    libuv

    Der asynchrone Herzschlag von Node.js, der Thread-Pools und Datei-I/O verwaltet und gelegentlich über Race Conditions in der C-Speicherverwaltung stolpert.

    Quelle ↗
  6. 6
    libsqlite3

    Die weltweit meistgenutzte Datenbank-Engine, die komplexe SQL-Zustandsmaschinen in Web-Frameworks ohne speichersichere Grenzen ausführt.

    Quelle ↗
  7. 7
    libpng

    Der Bild-Decoder, der Pixel-Header blind vertraut und in der Vergangenheit aus einem einzigen manipulierten Upload massive Heap-Beschädigungen zuließ.

    Quelle ↗
  8. 8
    libjpeg

    Diskrete Kosinustransformationen werden in Speicherpuffer übersetzt; diese Bibliothek hat Jahrzehnte von Ganzzahl-Überläufen in unvertrauenswürdigen Bild-Headern überstanden.

    Quelle ↗
  9. 9
    libicu

    Sie bewältigt die enorme Komplexität der Unicode-Kollation in C und legt gelegentlich tiefe Pufferüberläufe offen, wenn fehlerhafte internationale Zeichenketten verarbeitet werden.

    Quelle ↗
  10. 10
    PCRE (Perl-kompatible reguläre Ausdrücke)

    Die Auswertung rekursiver Regex-Muster in C lädt zu katastrophalem Backtracking und Stack-Überläufen ein, wenn sie mit bösartig konstruierten Suchzeichenketten gefüttert wird.

    Quelle ↗

Was Qwen aufgefallen ist

Die Notfall-Patches für PHP vom Oktober 2026 zeigen, dass speichersichere Sprachen wie PHP die Verarbeitung unvertrauenswürdiger Netzwerk-Bytes immer noch an nicht verwaltete C-Bibliotheken wie Brotli und libxml2 delegieren – und das erzeugt systemische Reibung.