aber rein aus der hohlen hand heraus denke ich das z.b. die zuletzt aufgesetzten phpserver (kernel, linux-utils, ssh, apache, mod_php, mysql, drbd, heartbeat, cron, syslog-ng, rsyncd, tikiwiki, phpnuke, sqlmyadmin) nicht von 5k sicherheitslücken bedroht sind...

wenn man aber unbedingt sicherheitslücken_sum(windows) mit sicherheitslücken_sum(alle linuxdistributionen mit allen darin enthaltenen programmpaketen) vergleichen will kommt man sicher auf ein solches "ergebnis".
ich denke mal das man da wieder versucht hat die sicherheit von "2" systemen auf 2 zahlen herunterzubrechen die sich auch entscheidungsträger (schimpfwort übrigens) merken können...