[{"data":1,"prerenderedAt":457},["ShallowReactive",2],{"blog-/de/php-vulnerabilities-dont-affect-neleto":3,"blog-related-/de/php-vulnerabilities-dont-affect-neleto":226},{"id":4,"title":5,"author":6,"body":7,"date":209,"description":210,"extension":211,"image":212,"meta":213,"navigation":214,"path":215,"seo":216,"stem":217,"tags":218,"__hash__":225},"blog/de/php-vulnerabilities-dont-affect-neleto.md","PHP hat gerade zwei kritische CVEs bekommen. Neleto musste nie patchen.","Marc Zinser",{"type":8,"value":9,"toc":197},"minimark",[10,19,22,27,39,42,46,49,52,61,65,68,75,78,82,85,91,94,97,110,114,125,128,132,135,138,142,145,152,156,181,184,189],[11,12,13,14,18],"p",{},"Am Dienstag, dem 20. Oktober, hat das PHP-Sicherheitsteam ein kritisches Security-Release angekündigt, ",[15,16,17],"em",{},"bevor irgendwelche Details veröffentlicht waren",". Das macht es nur, wenn es ernst ist. Zwei Schwachstellen, beide mit CVSS 9,2 bewertet, der Patch ist für heute, den 21. Oktober, um 14:00 UTC angesetzt. CERT-Bund hat die Lage mit 9,8 (kritisch) bewertet. CERT-EU ging noch weiter: Die Fehler könnten zu Remote Code Execution führen, und sie betreffen jede PHP-Version seit 5.0.",[11,20,21],{},"Wenn du WordPress, Laravel, Drupal oder eine der zig Millionen anderen PHP-Websites betreibst, ist spätestens dieser letzte Satz ein Alarmsignal. Patche jetzt, oder nimm deine internetzugänglichen Anwendungen offline, bis du patchen kannst.",[23,24,26],"h2",{"id":25},"was-die-cves-sind-bisher","Was die CVEs sind (bisher)",[11,28,29,30,34,35,38],{},"Die zwei Kennungen lauten ",[31,32,33],"strong",{},"CVE-2026-109618"," und ",[31,36,37],{},"CVE-2026-109619",". Zum Zeitpunkt dieses Artikels sind keine technischen Details veröffentlicht. Das PHP-Team behält sich vor, das Release früher auszuliefern, \"sobald Details zu einer der Schwachstellen öffentlich werden oder Hinweise auf aktive Ausnutzung auftauchen\".",[11,40,41],{},"Genau dieser Zusatz ist beunruhigend, denn er heißt: Der Fix läuft womöglich gerade mit Angreifern um die Wette. Ohne öffentliche Details gibt es noch nichts zu bewerten. Es gibt nur eine Deadline.",[23,43,45],{"id":44},"warum-neleto-nie-in-der-gefahrenzone-stand","Warum Neleto nie in der Gefahrenzone stand",[11,47,48],{},"Auf Neletos Anfragepfad gibt es keinen PHP-Interpreter.",[11,50,51],{},"Das Backend ist in Rust geschrieben, basiert auf axum und spricht über sqlx mit Postgres. Seiten rendert unsere Handlebars-Engine, und Caddy sitzt als Gateway davor. Das Admin-Panel ist eine Vue-3-SPA. Nichts davon ist PHP, also gibt es auf dem Auslieferungspfad keinen Interpreter, in dem diese CVEs greifen könnten.",[11,53,54,55,60],{},"Ein Bug im PHP-Interpreter kann dich nicht treffen, wenn du nie einen lädst. Für genau diese CVE haben wir nichts geplant. Sie geht uns einfach nichts an, weil wir uns für Rust entschieden haben, wie in ",[56,57,59],"a",{"href":58},"/de/blog/why-neleto-runs-on-rust","diesem Artikel über Rust als Backend"," beschrieben.",[23,62,64],{"id":63},"jede-runtime-kann-verrotten","Jede Runtime kann verrotten",[11,66,67],{},"Das Problem dieser Woche betrifft nicht nur PHP. Es betrifft jede Sprache, die eine Runtime mitliefert.",[11,69,70,71,74],{},"Eine interpretierte Sprache bringt ihren Interpreter überallhin mit, auf jeden Server, hinter jede Anwendung. Dieser Interpreter ist ein großes gemeinsam genutztes Programm, einmal vom Sprachteam kompiliert und von jeder Anwendung übernommen, die darauf läuft. Ein Bug darin betrifft jede App auf jedem Rechner mit dieser Version, ",[15,72,73],{},"ganz egal, wie sorgfältig die Entwickler der Anwendung waren",". Wer dein CMS entwickelt hat, hat die verwundbare Zeile nicht geschrieben, sondern sie mit der Sprache geerbt.",[11,76,77],{},"PHP steht damit nicht allein. Ruby, Python, Node.js und die JVM bringen alle eine Runtime mit, alle hatten schon Runtime-CVEs, und bei allen werden weitere kommen. Die Runtime ist eine große Codebasis, die sich alle Apps darüber teilen, und meist ist sie älter als diese Apps. Hat sie einen Bug, zahlt jede App dafür, ob sie will oder nicht.",[23,79,81],{"id":80},"warum-kompilierte-sprachen-hier-prinzipiell-besser-sind","Warum kompilierte Sprachen hier prinzipiell besser sind",[11,83,84],{},"Ein kompiliertes Backend steckt seinen Code in ein eigenes Binary. Zur Laufzeit sitzt kein Interpreter zwischen Anfrage und Code, also gibt es auch keine Interpreter-Angriffsfläche, die es erben könnte. Die Art von Bug, die PHP diese Woche getroffen hat, ein Fehler in einer geteilten Runtime unter allen Apps, kommt in einem kompilierten Backend nicht vor.",[11,86,87,90],{},[15,88,89],{},"Für diese Art von Schwachstelle"," sind kompilierte Sprachen deshalb prinzipiell besser: keine Runtime, keine Runtime-Bugs.",[11,92,93],{},"\"Kompiliert\" heißt allerdings nicht \"sicher\". C und C++ sind kompiliert und trotzdem berüchtigt für Buffer Overflows und Use-after-free-Bugs. Ohne Interpreter fällt eine Angriffsfläche weg, eine andere bleibt. Statt der Bugs des Runtime-Teams hast du dann die Bugs, die die Entwickler der Anwendung selbst schreiben.",[11,95,96],{},"Rust geht noch einen Schritt weiter. Der Borrow Checker lehnt eine ganze Klasse von Memory-Safety-Bugs schon beim Kompilieren ab. Viele der Bugs, die C und C++ so gefährlich machen, kompilieren in Rust also gar nicht erst. Für diese Art von Problem ergibt sich folgende Reihenfolge:",[98,99,100,104,107],"ol",{},[101,102,103],"li",{},"Bugs in interpretierten Runtimes, das Problem von PHP diese Woche.",[101,105,106],{},"Memory-Bugs in kompilierten, aber unsicheren Sprachen, das Problem von C und C++.",[101,108,109],{},"Rust, wo der Compiler einen großen Teil von beidem abfängt, bevor es ausgeliefert wird.",[23,111,113],{"id":112},"ein-weiterer-grund-warum-wir-rust-gewählt-haben","Ein weiterer Grund, warum wir Rust gewählt haben",[11,115,116,117,120,121,124],{},"Als wir uns für die Sprache entschieden haben, haben wir das als Performance- und Kostenentscheidung begründet. Beide Gründe gelten nach wie vor, die Zahlen stehen im ",[56,118,119],{"href":58},"Benchmark-Artikel",". Diese Woche hat uns aber an einen Vorteil erinnert, den wir unterschätzt hatten: Mit einem kompilierten Backend patchen wir ",[15,122,123],{},"unseren"," Code, nicht den Interpreter von jemand anderem.",[11,126,127],{},"Eine PHP-CVE trifft Millionen von Servern auf einmal. Alle haben dasselbe Upgrade-Fenster und spielen einen Patch ein, den sie nicht geschrieben haben und nicht vollständig prüfen können. Ein Bug in Neleto steckt in Code, der uns gehört, und der Compiler hat sich schon vor dem Release mit uns darüber gestritten. Wenn der nächste kritische Bug auftaucht, beheben wir ihn selbst, statt darauf zu warten, dass jemand einen jahrzehntealten Interpreter flickt, von dem wir abhängen.",[23,129,131],{"id":130},"wogegen-neleto-nicht-immun-ist","Wogegen Neleto nicht immun ist",[11,133,134],{},"Neleto ist nicht gegen alles immun, und wer dir etwas anderes erzählt, will dir etwas verkaufen. Das Admin-Frontend ist TypeScript und läuft in einer JavaScript-Runtime, nur eben im Browser statt auf dem Server. Und jeder Server hängt an Systembibliotheken, allen voran OpenSSL. Eine kompilierte Sprache verkleinert die Angriffsfläche, aber sie bringt sie nicht auf null.",[11,136,137],{},"Was für den Auslieferungspfad wegfällt, ist das Szenario dieser Woche: ein einziger Fehler in einem geteilten Interpreter, der Millionen von Apps gleichzeitig gefährdet. Wenn doch ein Bug in Neleto auftaucht, steckt er in Code, den wir selbst lesen und prüfen können, nicht in einer Runtime, die wir aus dem Jahr 2004 geerbt haben.",[23,139,141],{"id":140},"was-das-für-dich-bedeutet","Was das für dich bedeutet",[11,143,144],{},"Wenn du heute PHP betreibst: Das Release ist draußen, also patche. CERT-EU war da deutlich. Erfasse deine PHP-Systeme und aktualisiere, sobald gefixte Versionen verfügbar sind, oder trenne internetzugängliche Anwendungen vom öffentlichen Netz, bis du das kannst.",[11,146,147,148,151],{},"Wenn du gerade ein CMS für die nächsten Jahre auswählst, stell eine Frage, die die meisten Vergleichsartikel auslassen: ",[15,149,150],{},"In welcher Sprache ist das Backend geschrieben, und bringt es eine Runtime mit?"," Der Interpreter gehört zu deiner Angriffsfläche, ob du ihn geschrieben hast oder nicht, und diese Woche hat gezeigt, was das kostet, wenn er kaputtgeht.",[23,153,155],{"id":154},"quellen","Quellen",[157,158,159,167,174],"ul",{},[101,160,161],{},[56,162,166],{"href":163,"rel":164},"https://www.php.net/archive/2026.php#2026-10-20-1",[165],"nofollow","Ankündigung des PHP-Sicherheitsteams, 20. Oktober 2026",[101,168,169],{},[56,170,173],{"href":171,"rel":172},"https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-4055",[165],"CERT-Bund, WID-SEC-2026-4055: \"PHP: Mehrere Schwachstellen ermöglichen nicht spezifizierten Angriff\"",[101,175,176],{},[56,177,180],{"href":178,"rel":179},"https://cert.europa.eu/publications/security-advisories/2026-018/",[165],"CERT-EU, Security Advisory 2026-018: \"Critical Vulnerabilities in PHP\"",[182,183],"hr",{},[11,185,186],{},[31,187,188],{},"Schnelle Websites. Einfache Inhalte. Agentenbereit.",[11,190,191,192,196],{},"Kostenlos starten auf ",[56,193,195],{"href":194},"/pricing","neleto.io",", einem CMS, dessen Backend die Runtime nicht mit der Hälfte des Webs teilt.",{"title":198,"searchDepth":199,"depth":199,"links":200},"",2,[201,202,203,204,205,206,207,208],{"id":25,"depth":199,"text":26},{"id":44,"depth":199,"text":45},{"id":63,"depth":199,"text":64},{"id":80,"depth":199,"text":81},{"id":112,"depth":199,"text":113},{"id":130,"depth":199,"text":131},{"id":140,"depth":199,"text":141},{"id":154,"depth":199,"text":155},"2026-10-21","Am 20. Oktober meldete das PHP-Sicherheitsteam zwei kritische Schwachstellen (CVSS 9,2), die alle PHP-Versionen seit 5.0 betreffen. Warum Neletos Stack nie in der Gefahrenzone stand, und was das über interpretierte versus kompilierte Backends aussagt.","md","/img/blog/php-vulnerabilities-dont-affect-neleto.svg",{},true,"/de/php-vulnerabilities-dont-affect-neleto",{"title":5,"description":210},"de/php-vulnerabilities-dont-affect-neleto",[219,220,221,222,223,224],"PHP","Security","CVE","Rust","CMS","Neleto","zQKijxv6oiRY_50xFi9iFZJC4NOd7pT2vvs3yoUqigk",[227,229,240,251,262,274,285,297,307,317,324,334,342,352,361,369,377,386,396,406,414,424,432,442,449],{"path":215,"title":5,"description":210,"date":209,"author":6,"image":212,"tags":228},[219,220,221,222,223,224],{"path":230,"title":231,"description":232,"date":233,"author":234,"image":235,"tags":236},"/de/story-of-neleto","Die Geschichte von Neleto","Sechs Jahre echte Kundenwebsites, bevor wir es überhaupt ein Produkt genannt haben. So wurde aus einem Werkzeug für unsere eigene Kundenarbeit ein CMS, das du kostenlos starten kannst.","2026-10-19","Martin Swoboda","/img/blog/story-of-neleto.svg",[224,237,238,239,223],"Build in Public","Story","Triple-A Soft",{"path":241,"title":242,"description":243,"date":244,"author":234,"image":245,"tags":246},"/de/templates-are-dead","Templates sind tot","Jedes CMS fragt dich zuerst, welches Template du willst. Jetzt, wo KI echte Designs erzeugt und ein nativer MCP-Server sie direkt in dein CMS stellt, startest du mit deiner eigenen Idee statt mit dem Theme von jemand anderem.","2026-10-07","/img/blog/templates-are-dead.svg",[223,247,248,249,250,224],"KI","MCP","Webdesign","Templates",{"path":252,"title":253,"description":254,"date":255,"author":234,"image":256,"tags":257},"/de/best-cms-for-agencies","Das beste CMS für Agenturen mit 10+ Kundenseiten (und was du vor der Festlegung prüfen solltest)","Die vier Dinge, die wirklich entscheiden, die Preisrechnung bei 10 und 25 Seiten, und ein ehrlicher Blick darauf, wo jede Option scheitert.","2026-10-05","/img/blog/best-cms-for-agencies.svg",[258,259,260,261,248,224],"Agenturen","CMS-Vergleich","Preise","Kundenseiten",{"path":263,"title":264,"description":265,"date":266,"author":234,"image":267,"tags":268},"/de/host-without-us-cloud","Wie du eine Website ohne US-Cloud-Anbieter hostest (und was wirklich als 'EU' zählt)","Ein Rechenzentrum in der EU ist nicht dasselbe wie außerhalb der Reichweite des US-Rechts zu sein. Hier ist der Unterschied, Schicht für Schicht.","2026-09-28","/img/blog/host-without-us-cloud.svg",[269,270,271,272,273,224],"DSGVO","EU Hosting","Digitale Souveränität","CLOUD Act","Datenschutz",{"path":275,"title":276,"description":277,"date":278,"author":234,"image":279,"tags":280},"/de/native-mcp-vs-wrapper","Natives MCP vs. MCP-Wrapper: Warum der Unterschied erst in Produktion auffällt","Beide sprechen dasselbe Protokoll. Der Unterschied zeigt sich darin, was sie erreichen können, als wer sie handeln und wie viele Round-Trips eine Anweisung kostet.","2026-09-21","/img/blog/native-mcp-vs-wrapper.svg",[248,281,223,282,283,284,224],"AI Agents","Integration","Claude Code","Permissions",{"path":286,"title":287,"description":288,"date":289,"author":234,"image":290,"tags":291},"/de/jimdo-to-neleto-migration","Jimdo zu Neleto: eine echte Migration","Wir haben eine Live-Jimdo-Seite mit Claude auf Neleto neu gebaut. Erst litt die Barrierefreiheit, zwei Prompts später: 99/100/100/100 bei Lighthouse.","2026-09-14","/img/blog/jimdo-to-neleto-migration.svg",[292,293,294,295,296,248,224],"Case Study","Migration","Jimdo","Accessibility","Lighthouse",{"path":298,"title":299,"description":300,"date":301,"author":234,"image":302,"tags":303},"/de/mcp-server-faster-image-ingest","Derselbe KI-Build ging von 30 Minuten auf 4 — das haben wir an unserem MCP-Server geändert","Bilder-Uploads waren der langsamste Teil beim Bauen einer Website mit einem KI-Agenten. Was wir am MCP-Server geändert haben, mit Vorher-Nachher-Zahlen.","2026-09-07","/img/blog/mcp-server-faster-image-ingest.svg",[224,248,304,305,237,306],"AI","Agents","Performance",{"path":308,"title":309,"description":310,"date":311,"author":234,"image":312,"tags":313},"/de/full-cms-vs-headless","Komplettes CMS vs. Headless: Warum All-in-One für den Großteil des Webs gewinnt","Headless hat seinen guten Ruf nicht umsonst. Hier ist der ehrliche Trade-off, und warum ein komplettes CMS für die meisten Websites besser passt.","2026-08-31","/img/blog/full-cms-vs-headless.svg",[314,223,315,248,316,224],"Vergleich","Headless","EU-Hosting",{"path":318,"title":319,"description":320,"date":321,"author":234,"image":322,"tags":323},"/de/self-verifying-ai","Die KI, die ihre eigene Arbeit prüft","KI-CMS-Setups schreiben Inhalte und hoffen aufs Rendering. Neleto prüft dreifach: Structured Output, LSP-Checks und ein Blick auf die Live-Seite.","2026-08-24","/img/blog/self-verifying-ai.svg",[224,304,248,305,237,223],{"path":325,"title":326,"description":327,"date":328,"author":234,"image":329,"tags":330},"/de/five-plugins-built-in","Fünf neue Neleto-Plugins — eingebaut, nicht drangeschraubt","Suche, Kommentare, Google-Bewertungen, SEO-Audits und Galerien: fünf Plugins, die direkt in deiner Neleto-Instanz laufen, ohne Drittanbieter-Skripte.","2026-08-17","/img/blog/five-plugins-built-in.svg",[224,331,223,237,332,333,269],"Plugins","SEO","Search",{"path":335,"title":336,"description":337,"date":338,"author":234,"image":339,"tags":340},"/de/why-neleto-runs-on-rust","Warum Neleto auf Rust läuft (und die Benchmarks, die es belegen)","Warum Neleto auf Rust läuft: echte Benchmarks (11 ms TTFB, ~9.400 Req/s, 78 MB RAM) und was es uns gekostet hat, von Entwicklungstempo bis Recruiting.","2026-08-10","/img/blog/why-neleto-runs-on-rust.svg",[224,222,306,341,237],"Benchmarks",{"path":343,"title":344,"description":345,"date":346,"author":234,"image":347,"tags":348},"/de/page-builder-walkthrough","Eine Landingpage in Neleto bauen: Ein echter Walkthrough (Maus und Prompt)","Dieselbe Landingpage zweimal gebaut, von Hand im Builder und per Prompt mit Claude, und beides gestoppt. Inklusive der Teile, die langsamer waren.","2026-07-27","/img/blog/page-builder-walkthrough.svg",[224,349,223,248,350,351],"Page Builder","AI CMS","No-Code",{"path":353,"title":354,"description":355,"date":356,"author":234,"image":357,"tags":358},"/de/mcp-connectors","Neleto mit allem verbinden: Der native MCP-Server und das Connector-Ökosystem","Dein CMS sollte keine Insel sein. So sprechen Claude, Cursor und Windsurf direkt mit deinen Inhalten — und wohin die Reise als Nächstes geht.","2026-07-20","/img/blog/mcp-connectors.svg",[248,359,247,283,360,224,223],"Connectors","Cursor",{"path":362,"title":363,"description":364,"date":365,"author":234,"image":366,"tags":367},"/de/wordpress-migration-walkthrough","40 Seiten von WordPress umziehen: ehrlich erzählt","Die Content-Migration dauerte keine Stunde, der ganze Umzug mit Domain, DNS, Weiterleitungen und QA fast einen Tag. Jeder Schritt, jede Stolperfalle.","2026-07-13","/img/blog/wordpress-migration-walkthrough.svg",[368,293,223,269,316,224],"WordPress",{"path":370,"title":371,"description":372,"date":373,"author":234,"image":374,"tags":375},"/de/html-to-editable-cms","Statische HTML-Seite zum editierbaren CMS machen","Webdesigner verlieren Tage damit, fertige Designs als CMS nachzubauen. Mit Neletos MCP-Server reicht ein Prompt, Animationen und Custom-Cursor inklusive.","2026-07-06","/img/blog/html-to-editable-cms.svg",[248,376,249,283,223,224],"KI-Agenten",{"path":378,"title":379,"description":380,"date":381,"author":234,"image":382,"tags":383},"/de/console-launch-free-tier","Neleto Console ist live — und der Free-Tier ist offen","Registrier dich auf console.neleto.io, bekomm ein echtes CMS und zahl uns nichts. Hier ist, warum wir es so gebaut haben.","2026-06-29","/img/blog/console-launch-free-tier.svg",[237,224,384,385,316,223],"Free-Tier","Self-Serve",{"path":387,"title":388,"description":389,"date":390,"author":234,"image":391,"tags":392},"/de/mcp-server-explained","MCP-Server erklärt: Der Deep Dive","Wie das Model Context Protocol sichere, native Interaktion von KI-Agenten mit deinen Anwendungen ermöglicht — und warum native Implementierung entscheidend ist.","2026-06-22","/img/blog/mcp-server-explained.svg",[248,393,394,376,395],"MCP-Server","Model Context Protocol","KI-Integration",{"path":397,"title":398,"description":399,"date":400,"author":234,"image":401,"tags":402},"/de/neleto-vs-contentful","Neleto vs Contentful: Welches CMS solltest du 2026 wählen?","Ein praxisnaher Vergleich für Entwickler, Agenturen und wachsende Unternehmen — von Preisen über Performance und KI-Integration bis hin zu EU-Compliance.","2026-06-16","/img/blog/neleto-vs-contentful.svg",[224,403,404,259,405],"Contentful","Headless CMS","KI-CMS",{"path":407,"title":408,"description":409,"date":410,"author":234,"image":411,"tags":412},"/de/agentic-traffic-surpassed-humans","Bots überholen uns: Was das agentische Web für dein CMS bedeutet","Cloudflare meldet: KI-Agenten erzeugen inzwischen den Großteil des Web-Traffics, 18 Monate früher als erwartet. Was das fürs Veröffentlichen bedeutet.","2026-06-08","/img/blog/agentic-traffic-surpassed-humans.svg",[413,376,248,223,224],"Agentisches Web",{"path":415,"title":416,"description":417,"date":418,"author":234,"image":419,"tags":420},"/de/glw-gmbh-case-study","Ein 40 Jahre altes Familienunternehmen modernisiert: Die neue Website der GLW GmbH mit Neleto","Wie wir mit der Agentur Inhalt eine schnelle, mehrsprachige Website mit CRM-Anbindung für GLW gebaut haben, einen Spezialisten für Kabelverarbeitung.","2026-06-05","/img/blog/glw-gmbh-case-study.svg",[292,421,224,422,423],"Kundenprojekt","CRM-Integration","Custom Plugin",{"path":425,"title":426,"description":427,"date":428,"author":234,"image":429,"tags":430},"/de/eu-hosting-compliance","Warum EU-Hosting-Compliance für deine Website wichtig ist","Datensouveränität, DSGVO und die richtige Infrastruktur im Jahr 2026","2026-06-01","/img/blog/eu-hosting-compliance.svg",[269,270,273,431,224],"Compliance",{"path":433,"title":434,"description":435,"date":436,"author":234,"image":437,"tags":438},"/de/buergerstiftung-ravensburg","Bürgerstiftung Ravensburg: Moderne Website für gesellschaftliches Engagement mit Neleto","Wie wir mit der Agentur Inhalt eine klare, schnelle und emotionale Website für die Bürgerstiftung Ravensburg gebaut haben, mit Neleto.","2026-05-29","/img/blog/buergerstiftung-ravensburg.svg",[292,439,440,224,441],"Nonprofit","Stiftung","Website",{"path":443,"title":444,"description":445,"date":446,"author":234,"image":447,"tags":448},"/de/what-is-mcp","Was ist das Model Context Protocol (MCP)?","Der neue Standard, der KI-Agenten mit deinen Tools und Daten verbindet","2026-05-25","/img/blog/what-is-mcp.svg",[248,247,394,376,223],{"path":450,"title":451,"description":452,"date":453,"author":234,"image":454,"tags":455},"/de/why-neleto-exists","Warum es Neleto gibt","Das CMS für Geschwindigkeit, Einfachheit und das KI-Zeitalter","2026-05-18","/img/blog/why-neleto-exists.svg",[223,247,456,306,224],"Webentwicklung",1792590669308]