Zeitleiste der größten Schwachstellen, die das Netz lahmlegten

Die Sicherheitslücken, die die IT-Sicherheit verändert haben, von Code Red bis PHP2Shell. Mit Schweregrad, Ablauf und Zahlen zu jedem Fall.

Fälle: 20
Als kritisch eingestuft: 8

Schwachstellen

2026
Aktuell: Update veröffentlicht, jetzt aktualisieren
PHP2Shell
PHP, die Sprache hinter den meisten WebsitesCVSS 9,8
Zwei Fehler in PHP selbst erlauben Angreifern, Webserver mit WordPress, Drupal, Joomla und vielen anderen Anwendungen ohne Passwort zu übernehmen.
69,3 % der Websites mit bekannter Serversprache laufen mit PHP
Sofortmaßnahmen: Aktualisiere PHP auf 8.5.12, 8.4.27, 8.3.36 oder 8.2.35 oder neuer, je nach Zweig.
2023
MOVEit Transfer
Progress MOVEit Transfer, ein Server für den Dateiaustausch mit PartnernCVSS 9,8
Die Bande Cl0p nutzte eine unbekannte Lücke im Dateiserver MOVEit Transfer, um Daten von 2.773 Organisationen zu stehlen.
95,8 Millionen Menschen, deren Daten betroffen waren, laut Meldungen von Datenpannen (Emsisoft)
2021
Log4Shell
Apache Log4j 2, eine Logging-Bibliothek für Java-ProgrammeCVSS 10,0
Eine Zeile Text in einem Log genügte, damit Server den Code von Angreifern ausführten. Die Lücke steckte in einer Java-Bibliothek, von der 35.863 Pakete abhingen.
35.863 Java-Pakete auf Maven Central nutzten den fehlerhaften Code, mehr als 8 % aller (Google)
2021
ProxyLogon
Microsoft Exchange Server 2013, 2016 und 2019, auf eigenen Servern einer Organisation betriebenCVSS 9,8
Vier Lücken in Microsoft Exchange ließen Angreifer ohne Passwort Postfächer lesen und Mailserver übernehmen, zwei Monate bevor es einen Fix gab.
400.000 Exchange-Server waren am Tag vor dem Fix gefährdet (knapp so viele; gehackt wurden nicht alle)
2019
Citrix ADC
Citrix ADC und Citrix Gateway (heute wieder NetScaler genannt), Geräte für den Fernzugriff auf interne NetzeCVSS 9,8
Eine Sicherheitslücke in den Fernzugriffs-Gateways von Citrix ließ jeden im Internet die Geräte ohne Passwort übernehmen. 33 Tage lang gab es nur einen Workaround.
128.777 verwundbare Server weltweit im Dezember 2019 (Schätzung aus einem Scan; DIVD)
2019
Exim
Exim, ein Mailserver für Linux- und Unix-SystemeCVSS 9,8
Eine Sicherheitslücke im Mailserver Exim ließ Angreifer Befehle als root ausführen, die sie in eine E-Mail-Adresse schrieben. Binnen weniger Tage verbreitete sich ein Wurm über die Lücke.
4,1 Millionen Systeme zeigten im Juni 2019 in den Suchergebnissen von Shodan eine verwundbare Exim-Version (mehr als; Daten von Tenable)
2018
MikroTik Winbox
MikroTik RouterOS, das Betriebssystem der MikroTik-Router, über seinen Verwaltungsdienst WinboxCVSS 9,1
Eine Lücke im Winbox-Dienst von MikroTik-Routern ließ jeden die Passwörter der Administratoren herunterladen. Monate nach dem Patch hatten Angreifer mehr als 200.000 Router gekapert.
370.000 MikroTik-Geräte waren vier Monate nach dem Patch noch verwundbar (Netlab 360)
2018
Meltdown
Die meisten Intel-Prozessoren und einige ARM-basierte DesignsCVSS 5,6
Ein Designfehler der meisten Intel-Prozessoren ließ jedes Programm den geschützten Speicher des Betriebssystems lesen; Updates der Betriebssysteme schlossen die Lücke.
3,2–503 Kilobyte pro Sekunde: So schnell las ein gewöhnliches Programm Kernel-Speicher, je nach Rechner
2018
Spectre
Prozessoren von Intel, AMD und Arm, in Milliarden von GerätenCVSS 5,6
Ein Designfehler in fast allen modernen Prozessoren ließ Programme auf Desktop-PCs, Laptops, Servern und Smartphones Speicher lesen, den sie nicht sehen dürften.
45 Windows-Editionen brauchten Patches; für 41 gab es sie sechs Tage nach der Veröffentlichung
2017
NotPetya
Windows-Netzwerke, erreicht über die ukrainische Buchhaltungssoftware M.E.DocCVSS 8,8
Ein als Ransomware getarnter Wurm kam über ein gekapertes Software-Update, zerstörte Daten in der Ukraine und 64 weiteren Ländern und kostete Milliarden US-Dollar.
200–300 Millionen US-Dollar Kosten erwartete allein die Reederei Maersk (Pressebericht)
2017
WannaCry
Windows-Computer mit dem alten Dateifreigabe-Protokoll SMBv1CVSS 8,8
Ein Ransomware-Wurm traf mit einem geleakten NSA-Werkzeug und einer Windows-Lücke mehr als 200.000 Computer und störte Krankenhäuser in England.
200.000+ Computer in mindestens 100 Ländern getroffen
2014
Shellshock
GNU Bash, die Shell von Linux, Unix und macOSCVSS 9,8
Eine Lücke in Bash, der Shell von Linux und macOS, ließ Angreifer mit einer einzigen präparierten Anfrage Befehle auf Webservern ausführen.
63,2 % der Websites mit bekanntem Betriebssystem laufen heute auf Linux, bei dem Bash zum System gehört
2014
Heartbleed
OpenSSL, die Verschlüsselungssoftware hinter vielen HTTPS-ServernCVSS 7,5
Eine fehlende Prüfung in OpenSSL ließ Angreifer Teile des Serverspeichers auslesen, von Passwörtern bis zu privaten Schlüsseln, ohne Spuren in den normalen Logdateien.
24–55 % der HTTPS-Server unter den eine Million meistbesuchten Websites waren anfangs verwundbar
2014
NTP monlist
ntpd, die Zeitserver-Software des NTP-Projekts, und Geräte, die sie nutzenCVSS 5,0
Ein Diagnosebefehl in NTP-Zeitservern beantwortete eine winzige Anfrage mit einer Liste von bis zu 600 Adressen. So konnten Angreifer mit gefälschten Absenderadressen mehr als eine Million Server als Verstärker für DDoS-Angriffe nutzen.
2.166.097 verschiedene Adressen verwundbarer NTP-Server in 15 Wochen Scans
2008
Conficker
Microsoft Windows, ServerdienstCVSS 10,0
Ein Windows-Wurm suchte täglich unter bis zu 50.000 neuen Domainnamen nach Updates. Verteidiger in über 100 Ländern sperrten diese Namen gemeinsam.
5–13 Millionen Computer ein Jahr nach dem Ausbruch infiziert
2008
Kaminsky DNS
DNS-Resolver wie BIND und Windows DNS, die für Nutzer Internetadressen nachschlagenCVSS 6,8
Eine Schwachstelle im DNS ließ Angreifer binnen Sekunden falsche Adressen für jede beliebige Domain in den Cache eines Resolvers schleusen. So konnten sie die Nutzer des Resolvers auf Server ihrer Wahl umleiten.
57 % der 0,9 Millionen getesteten offenen Resolver schickten Monate nach den Fixes noch jede Anfrage vom selben Port ab
2003
Blaster
Windows NT 4.0, 2000, XP und Server 2003, über den standardmäßig laufenden RPC-DienstCVSS 7,5
Ein Wurm infizierte über eine Lücke in einem standardmäßig laufenden Windows-Dienst binnen einer Woche mehr als 100.000 Computer. Ein Jahr später verbreitete er sich noch immer.
100.000+ Windows-Computer in der ersten Woche infiziert
2003
SQL Slammer
Datenbankserver Microsoft SQL Server 2000 und MSDE 2000CVSS 7,5
Ein nur 376 Byte großer Wurm verbreitete sich hundertmal schneller als Code Red und überflutete Netzwerke mit seinem Datenverkehr.
10 min bis mehr als 90 % der verwundbaren Server infiziert waren
2001
Nimda
Microsoft-IIS-Webserver und Windows-Computer mit Internet Explorer 5.01 oder 5.5CVSS 7,5
Ein Wurm griff Microsofts Webserver und Windows-PCs auf fünf Wegen zugleich an, von E-Mails bis zu Hintertüren von CodeRedII. In sieben Stunden infizierte er 160.000 Computer.
160.000 Computer auf dem Höhepunkt infiziert, 7 Stunden nach Beginn des Ausbruchs
2001
Code Red
Microsoft-IIS-WebserverCVSS 10,0
Ein sich selbst verbreitender Wurm nutzte eine Lücke in Microsofts Webserver-Software IIS aus. Microsoft hatte den Patch einen Monat zuvor veröffentlicht.
359.104 Computer in weniger als 14 Stunden infiziert

Die Fälle und die Kriterien, die sie erfüllen

Name	Jahr	CVSS	Reichweite	Massenausnutzung	Schaden	Außergewöhnliche Reaktion
Code Red	2001	10,0	erfüllt	erfüllt	erfüllt	nicht erfüllt
Nimda	2001	7,5	erfüllt	erfüllt	nicht erfüllt	nicht erfüllt
SQL Slammer	2003	7,5	nicht erfüllt	erfüllt	erfüllt	nicht erfüllt
Blaster	2003	7,5	erfüllt	erfüllt	nicht erfüllt	erfüllt
Kaminsky DNS	2008	6,8	erfüllt	nicht erfüllt	nicht erfüllt	erfüllt
Conficker	2008	10,0	erfüllt	erfüllt	nicht erfüllt	erfüllt
NTP monlist	2014	5,0	erfüllt	erfüllt	nicht erfüllt	erfüllt
Heartbleed	2014	7,5	erfüllt	nicht erfüllt	nicht erfüllt	erfüllt
Shellshock	2014	9,8	erfüllt	erfüllt	nicht erfüllt	nicht erfüllt
WannaCry	2017	8,8	erfüllt	erfüllt	erfüllt	erfüllt
NotPetya	2017	8,8	nicht erfüllt	erfüllt	erfüllt	nicht erfüllt
Meltdown	2018	5,6	erfüllt	nicht erfüllt	nicht erfüllt	erfüllt
Spectre	2018	5,6	erfüllt	nicht erfüllt	nicht erfüllt	erfüllt
MikroTik Winbox	2018	9,1	erfüllt	erfüllt	nicht erfüllt	nicht erfüllt
Exim	2019	9,8	erfüllt	erfüllt	nicht erfüllt	nicht erfüllt
Citrix ADC	2019	9,8	erfüllt	erfüllt	erfüllt	erfüllt
ProxyLogon	2021	9,8	erfüllt	erfüllt	nicht erfüllt	erfüllt
Log4Shell	2021	10,0	nicht erfüllt	erfüllt	nicht erfüllt	erfüllt
MOVEit Transfer	2023	9,8	nicht erfüllt	erfüllt	erfüllt	nicht erfüllt
PHP2Shell	2026	9,8	erfüllt	nicht erfüllt	nicht erfüllt	erfüllt

Schweregrad (CVSS) des Haupt-CVE

Code Red	10,0
Conficker	10,0
Log4Shell	10,0
Shellshock	9,8
Exim	9,8
Citrix ADC	9,8
ProxyLogon	9,8
MOVEit Transfer	9,8
PHP2Shell	9,8
MikroTik Winbox	9,1
WannaCry	8,8
NotPetya	8,8
Nimda	7,5
SQL Slammer	7,5
Blaster	7,5
Heartbleed	7,5
Kaminsky DNS	6,8
Meltdown	5,6
Spectre	5,6
NTP monlist	5,0

CVSS-Basiswerte aus der US-amerikanischen National Vulnerability Database. Ältere Einträge enthalten Werte der Version 2, die auf einer anderen Skala basieren.

Alle Fälle von 2000 bis 2026

Schwachstellen

So liest du die Fälle

Jeder Artikel beginnt mit dem Steckbrief der Schwachstelle. Darin stehen die CVE-Nummer, die Bewertung in der US-amerikanischen National Vulnerability Database und die Daten von der ersten Meldung bis zum Patch und zu den ersten Angriffen. Darunter erklärt der Artikel, wie die Lücke funktionierte und wie es weiterging. Diagramme zeigen die Zahlen aus öffentlichen Berichten.

Der CVSS-Wert gibt auf einer Skala von 0 bis 10 an, wie schwerwiegend eine Sicherheitslücke ist. Er sagt nichts darüber aus, wie oft sie bei Angriffen ausgenutzt wurde. Einige der Fälle mit den größten Schäden haben hier nur mittlere Werte.

Wie eine Schwachstelle auf diese Liste kommt

Diese Liste ist keine Datenbank aller Sicherheitslücken: Jedes Jahr erhalten Zehntausende eine CVE-Nummer. Sie enthält nur die Fälle, die das ganze System erschüttert haben. Eine Schwachstelle kommt nur auf die Liste, wenn sie alle drei Grundbedingungen und mindestens zwei der vier Ausmaß-Kriterien erfüllt.

Grundbedingungen

Ein konkreter Fehler in einem weit verbreiteten Produkt oder einer Komponente, öffentlich dokumentiert: mit CVE-Nummer oder Sicherheitshinweis des Herstellers. Schadsoftware zählt über die Lücke, die sie ausgenutzt hat.
Viele unabhängige Betreiber betroffen, in vielen Ländern, nicht nur die Kunden eines einzelnen Unternehmens.
Durch Primärquellen belegt: Herstellerhinweise, Behörden oder Messstudien.

Ausmaß-Kriterien (mindestens zwei)

Kriterium	Erfüllt, wenn
Reichweite	Messungen mindestens 100.000 betroffene Systeme fanden oder die Lücke in einer Komponente steckt, die auf mindestens einem Zehntel aller Systeme ihrer Art läuft, etwa Prozessoren, Webservern oder Websites
Massenausnutzung	Angriffe mindestens 1.000 Organisationen oder 100.000 Systeme trafen oder sich ein Wurm selbst verbreitete
Schaden	ein Schaden von mindestens einer Milliarde US-Dollar belegt ist, kritische Dienste wie Krankenhäuser, Stromversorgung oder Verkehr ausfielen, oder Daten von mindestens zehn Millionen Menschen betroffen sind
Außergewöhnliche Reaktion	Maßnahmen über das übliche Patchen hinausgingen: die höchste Warnstufe einer nationalen Cyberbehörde, eine Notfallanordnung einer Regierung, Fixes in allen großen Betriebssystemen zugleich oder eine Koordination über Branchen und Länder hinweg

Ein hoher Schweregrad allein reicht nicht. Meltdown hat einen CVSS-Wert von 5,6 und steht auf der Liste, viele Lücken mit dem Wert 10 nicht. Jede Fallseite zeigt, welche Kriterien der Fall erfüllt und warum.

Bekannt, aber nicht auf der Liste

Diese Schwachstellen sorgten für Schlagzeilen, erfüllen aber weniger als zwei der vier Ausmaß-Kriterien.

Name	Jahr	Haupt-CVE	Warum nicht
xz Utils backdoor	2024	CVE-2024-3094	Entdeckt, bevor die Hintertür in stabile Versionen der großen Linux-Distributionen gelangte; keine bekannten Angriffe, kein Schaden. Erfüllt nur das Kriterium Reaktion: ein Beinahe-Fall.
TunnelVision	2024	CVE-2024-3661	Erlaubt einem Angreifer im selben lokalen Netz, Datenverkehr am VPN vorbeizuleiten; keine Massenangriffe, kein gemeldeter Schaden, keine außergewöhnliche Reaktion.