Avada CVSS 9.1, AIOS-XSS & Google AI Mode: Was jetzt gilt

Avada CVSS 9.1, AIOS-XSS & Google AI Mode: Was jetzt gilt

AvadaAvada Builder hat eine kritische Lücke mit CVSS 9.1: Angreifer können ohne Login beliebige Dateien löschen und damit eine WordPress-Installation vollständig übernehmen. Gleichzeitig hat das Security-Plugin All-In-One Security selbst eine XSS-Lücke. Und Google hat seinen AI Mode auf über eine Milliarde Nutzer ausgeweitet, was lokale Betriebe bei Google Business Profil und Schema-Markup jetzt spüren werden.

Dennis Schwenker-Sanders 7 Min. Lesezeit

Prüfe jetzt dein WordPress-Dashboard unter Plugins. Wenn Avada oder Fusion Builder in der Liste steht und die Version unter 3.15.4 ist, hat jemand die technische Möglichkeit deine Website vollständig zu übernehmen, ohne sich vorher einloggen zu müssen. Gleichzeitig hat das Security-Plugin All-In-One Security selbst eine Sicherheitslücke, die seit Anfang Juni öffentlich bekannt ist. Und Google hat seine KI-Suche seit dem I/O-Event auf über eine Milliarde Nutzer ausgeweitet.

Was du in 10 Minuten erfährst:

  1. Warum Avada Builder CVSS 9.1 sofort geupdated werden muss und was bei einem erfolgreichen Angriff passiert
  2. Warum ausgerechnet ein Security-Plugin (AIOS) selbst eine Sicherheitslücke hat und was zu tun ist
  3. Was Googles AI Mode mit 1 Milliarde Nutzern für lokale Betriebe in der Region bedeutet

Vier Themen diese Woche, zwei davon betreffen ausschließlich WordPress-Nutzer, ein drittes nur Websites mit einem speziellen Theme, und das vierte alle Betriebe die in der Google-Suche sichtbar sein wollen. Als Webentwickler aus der Region Oldenburg beobachte ich die WordPress-Lücken-Welle der letzten Wochen mit wachsender Aufmerksamkeit. Das Muster ist immer dasselbe: Plugin in den Dashboards der Betriebe vorhanden, Update nicht eingespielt.


Thema


Dringlichkeit


Betrifft dich wenn...


Avada Builder CVE-2026-8713

🔥 CVSS 9.1, sofort

Du Avada oder Fusion Builder ≤ 3.15.3 nutzt

AIOS XSS CVE-2026-8438

⚠️ CVSS 7.2, prüfen

Du All-In-One Security ≤ 5.4.7 nutzt

Motors Theme CVE-2026-1934

📋 CVSS 4.3, updaten

Du das Motors-Theme für Automarkt/Listings nutzt

Google AI Mode

📊 Strategie, mittelfristig

Du in der Google-Suche sichtbar sein willst

WordPress-Schnellcheck: Was hast du installiert?

Sofort updaten: Avada oder Fusion Builder unter Version 3.15.4 — kritisch, keine Verzögerung.

Diese Woche prüfen: All-In-One Security unter Version 5.4.8 — hochgradig, zeitnah.

Relevant wenn: Motors-Theme installiert und unter Version 1.4.104 — medium, aber updaten.

Gilt für alle: Google Business Profil und strukturierte Daten auf der Website prüfen.

Avada Builder: Unauthentifiziertes Löschen von Dateien, CVSS 9.1

CVE-2026-8713 ist eine kritische Schwachstelle im Avada Builder, dem Page-Builder-Plugin des Avada-Themes von ThemeFusion. Betroffen sind alle Versionen bis einschließlich 3.15.3. Der Patch ist in Version 3.15.4 enthalten, veröffentlicht am 2. Juni 2026.

Die Lücke erlaubt unauthentifiziertes Löschen beliebiger Dateien via Path Traversal. Was das bedeutet: Ein Angreifer der noch nie auf deiner Website eingeloggt war, kann durch einen gezielten HTTP-Request eine Datei seiner Wahl vom Server löschen. Die gefährlichste Datei die dabei gelöscht werden kann ist die wp-config.php. Wenn diese Datei fehlt, startet WordPress im Setup-Modus. Im Setup-Modus kann jeder eine neue Datenbank konfigurieren und sich als Administrator anlegen. Das ist eine vollständige Übernahme der Website.

Wordfence hat bislang keine Massenausnutzung beobachtet. Der Researcher "daroo" hat die Lücke über das Wordfence-Bug-Bounty-Programm gemeldet und 3.600 US-Dollar Prämie erhalten. Das deutet auf verantwortungsvolle Offenlegung hin: Die Lücke war vor dem Patch nicht öffentlich. Trotzdem gilt: Seit der Veröffentlichung ist die Information für jeden abrufbar.

Avada hat über eine Million aktive Installationen. Es ist eines der meistverkauften kommerziellen Themes weltweit. Wer es nutzt und nicht geupdated hat, ist eine der Millionen verwundbarer Websites.

Auch bei deaktiviertem Avada Builder prüfen

Der Avada Builder ist oft als separates Plugin installiert, auch wenn das Theme aktiv ist. Prüfe unter "Plugins" sowohl nach "Avada" als auch nach "Fusion Builder". Wenn beide oder eines davon unter Version 3.15.4 ist: sofort updaten. Ein deaktiviertes Plugin mit der Lücke schützt nicht.

KurzAvada Builder ≤ 3.15.3: Unauthentifiziertes File Deletion via Path Traversal, CVSS 9.1. Löschen der wp-config.php ermöglicht vollständige Übernahme. Patch in 3.15.4 (02.06.2026). Sofort updaten.

Weißt du welche Plugins auf deiner WordPress-Website installiert sind?

Im kostenlosen Website-Check schaue ich mir die Plugin-Versionen konkret an und zeige dir was sofort aktualisiert werden muss.

  • Kostenlos für Betriebe aus der Region
  • Alle kritischen Plugin-Versionen auf einen Blick
Kostenlosen Check anfragen →

⏱️ Antwort binnen 24 Stunden

All-In-One Security mit XSS-Lücke: Das Security-Plugin selbst

CVE-2026-8438 ist eine Stored-XSS-Lücke in All-In-One Security (AIOS), einem der populärsten WordPress-Security-Plugins. Die Ironie dabei ist offensichtlich: Ein Plugin das deine Website absichern soll, hat selbst eine Sicherheitslücke.

Betroffen sind alle AIOS-Versionen bis einschließlich 5.4.7. Der Patch ist in 5.4.8 enthalten, aktuell ist bereits 5.4.9. Öffentlich bekannt ist die Lücke seit dem 5. Juni 2026. Gemeldet von Wordfence und Dmitrii Ignatyev.

Die technischen Details: Der CVSS-Vektor bewertet die Lücke als HIGH (Basiswert 7.2). Die Lücke steckt in der get_rest_route()-Funktion und ist über den aktivierten Debug-Modus in Kombination mit einer REST-API-Sperre ausnutzbar. Stored XSS bedeutet: Schadcode wird dauerhaft in der Datenbank gespeichert und wird bei jedem Aufruf der betroffenen Seite ausgeführt. Ein erfolgreicher Angriff kann Cookies stehlen, Formulardaten abgreifen oder im schlimmsten Fall eine Administrator-Session übernehmen.

Was zu tun ist: AIOS auf Version 5.4.9 oder höher updaten. Falls du den Debug-Modus in AIOS aktiviert hast, deaktivieren bis das Update eingespielt ist. Das Plugin-Dashboard zeigt dir die aktuelle Version direkt an.

KurzAIOS ≤ 5.4.7: Stored XSS über get_rest_route(), CVSS 7.2, aktiv seit 05.06.2026. Patch in 5.4.8, aktuell 5.4.9. Sofort updaten, Debug-Modus deaktivieren bis Update läuft.

Kurz: Motors Theme CVE-2026-1934

Das Motors-Theme für Automarkt-Websites und Kleinanzeigen-Portale hat eine Missing-Authorization-Flaw (CVSS 4.3, medium). Betroffen sind Versionen bis einschließlich 1.4.103, gefixt in 1.4.104. Die Lücke in stm_save_user_extra_fields() erlaubt es einem eingeloggten Nutzer mit Subscriber-Rolle, bezahlte Dealer-Mitgliedschaften ohne Zahlung freizuschalten.

Für die meisten lokalen Betriebe in der Region ist das Motors-Theme nicht relevant. Wer aber ein Fahrzeug-Marktplatz-Portal oder ein Kleinanzeigen-Verzeichnis betreibt: Update auf 1.4.104 einspielen und prüfen ob Mitgliedschaften unberechtigterweise aktiviert wurden.

KurzMotors Theme ≤ 1.4.103: Auth Bypass, Subscriber schaltet bezahlte Dealer-Mitgliedschaft gratis frei. Patch in 1.4.104. Nur relevant für Marktplatz-/Verzeichnis-Websites.

Welche dieser Lücken betreffen deine Website konkret?

Im Website-Check schaue ich mir Plugin- und Theme-Versionen an und gebe dir eine klare Einschätzung welche Updates heute noch gemacht werden müssen.

  • Avada, AIOS und Motors-Theme-Status prüfen
  • Google-Sichtbarkeit und GBP-Einschätzung inklusive
Kostenlosen Check anfragen →

⏱️ Antwort binnen 24 Stunden

Google AI Mode: Was 1 Milliarde Nutzer für lokale Betriebe bedeuten

Auf der Google I/O im Mai 2026 hat Google Search grundlegend umgebaut. AI Mode nutzt Gemini 3.5 Flash als neuen globalen Default und läuft in fast 200 Ländern und 98 Sprachen. Laut Sundar Pichai hat AI Mode inzwischen über eine Milliarde monatliche Nutzer. AI Overviews sogar über 2,5 Milliarden.

Das sind keine abstrakten Zahlen. Sie bedeuten: Wenn jemand in Ganderkesee oder Wildeshausen nach einem lokalen Betrieb sucht, bekommt er sehr wahrscheinlich eine KI-generierte Zusammenfassung zu sehen, bevor er auf einzelne Websites klickt. Diese Zusammenfassung zieht ihre Informationen aus Quellen die Google für vertrauenswürdig hält.

Für lokale Betriebe verschiebt sich damit etwas Grundsätzliches. Google selbst kommuniziert, dass der Algorithmus sich von "Prominence" zu "Popularity" verlagert, also von reiner Bekanntheit zu aktiver Interaktion. Bewertungen die beantwortet werden, Posts im Google Business Profil, strukturierte Daten auf der Website: All das fließt in die KI-Antworten ein.

Was das praktisch bedeutet: Wer sein Google Business Profil nicht gepflegt hat, liefert der KI wenig verwertbares Material. Die KI greift auf das zurück was vorhanden und strukturiert ist. Ein Betrieb der regelmäßig Posts veröffentlicht, Bewertungen beantwortet und Schema-Markup auf seiner Website hat, ist für AI Overviews besser aufgestellt als einer der nur eine vollständige Adresse eingetragen hat.

Wie ich im Artikel zu Gemini im Google Business Profil beschrieben habe, kommt dazu die direkte Gemini-Integration in GBP. KI-Aktivität und GBP-Pflege verstärken sich gegenseitig.

Was viele Betriebe noch nicht auf dem Schirm haben: Structured Data, also Schema-Markup auf der Website, ist eines der primären Signale die Google nutzt um KI-Antworten zu generieren. Wer LocalBusiness-Schema, OpeningHours und FAQPage auf seiner Website korrekt eingebunden hat, erhöht die Wahrscheinlichkeit in KI-Antworten auftauchen. Das hat nichts mit teurer SEO-Technik zu tun. Lotse CMS generiert LocalBusiness-Schema automatisch aus den hinterlegten Profildaten.

Aus der Praxis

Was ich bei Website-Checks in Betrieben aus Oldenburg und Umgebung sehe: Kein Schema-Markup, kein gepflegtes Google Business Profil, keine strukturierten FAQs auf der Website. Das war vor zwei Jahren "nice to have". In einer Welt in der 2,5 Milliarden Menschen monatlich KI-Antworten von Google bekommen, ist es ein relevanter Rankingfaktor. Wer jetzt beginnt, ist deutlich früher aufgestellt als der Durchschnitt der lokalen Konkurrenz.

KurzGoogle AI Mode: 1 Mrd. monatliche Nutzer, 2,5 Mrd. AI Overviews. Algorithmus verschiebt sich zu aktiver Interaktion (GBP-Posts, Bewertungsantworten, Schema-Markup). Lokale Betriebe mit vollständigem GBP und strukturierten Daten sind besser für KI-Antworten aufgestellt.

Plugins prüfen und für die KI-Suche aufstellen

Lass uns beides zusammen angehen: was heute geupdated werden muss und wie dein digitales Profil für Googles KI-Suche aufgestellt ist.

Termin vereinbaren →

Häufige Fragen

Wie finde ich heraus ob ich Avada oder Fusion Builder nutze?

Im WordPress-Dashboard unter "Design" → "Themes" steht ob Avada als Theme aktiv ist. Unter "Plugins" → "Installierte Plugins" findest du "Fusion Builder" als separates Plugin. Beides kann unabhängig installiert sein. Prüfe in beiden Bereichen und schau auf die angezeigte Versionsnummer. Alles unter 3.15.4 ist von CVE-2026-8713 betroffen. Das Update wird im Dashboard unter "Plugins" → "Updates" angezeigt, sofern es noch nicht eingespielt wurde.

Muss ich AIOS jetzt deinstallieren weil es selbst unsicher ist?

Nein. Die Lücke CVE-2026-8438 ist in Version 5.4.8 gepatcht, aktuell ist bereits 5.4.9. Ein Update auf die aktuelle Version reicht. Solange du auf 5.4.7 oder älter bist und den Debug-Modus in AIOS aktiviert hast, besteht das Risiko. Nach dem Update ist die Lücke geschlossen. AIOS ist weiterhin ein sinnvolles Security-Plugin, der Vorfall zeigt aber dass auch Security-Tools regelmäßig geupdated werden müssen.

Was genau sind AI Overviews und warum sollte ich als lokaler Betrieb darauf achten?

AI Overviews sind die KI-generierten Zusammenfassungen die Google über den klassischen Suchergebnissen anzeigt. Laut Google I/O 2026 haben sie 2,5 Milliarden monatliche Nutzer. Das bedeutet: Wenn jemand nach einem lokalen Betrieb sucht, sieht er oft zuerst eine KI-Zusammenfassung, bevor er auf einzelne Website-Links klickt. Die KI zieht ihre Informationen aus strukturierten Daten, Google Business Profil und gut gepflegten Websites. Wer dort präsent ist, hat eine bessere Chance in der Zusammenfassung aufzutauchen.

Was ist Schema-Markup und brauche ich das wirklich?

Schema-Markup sind strukturierte Daten die im Quellcode deiner Website stecken und Suchmaschinen direkt maschinenlesbare Informationen liefern: Öffnungszeiten, Adresse, Bewertungen, FAQ-Antworten. Google nutzt diese Daten für AI Overviews, für erweiterte Suchergebnis-Darstellungen und für lokale Suchen. Lotse CMS generiert LocalBusiness-Schema automatisch. Bei WordPress hängt es vom Theme ab. Ein Fehler der bei Website-Checks häufig auftaucht: kein Schema oder fehlerhaftes Schema das zwar vorhanden ist aber falsche Werte enthält.

Betrifft mich Google AI Mode auch wenn mein Betrieb in einer kleinen Gemeinde in der Region liegt?

Ja. Google AI Mode läuft laut Google in fast 200 Ländern und 98 Sprachen, also auch in Deutschland und im ländlichen Raum. Für lokale Betriebe in Ganderkesee, Wildeshausen oder Hude gilt dasselbe Prinzip wie für Betriebe in Hamburg: Wer strukturierte Daten hat, ein gepflegtes Google Business Profil und regelmäßige Online-Aktivität, ist für KI-Antworten besser aufgestellt. Der Unterschied: Im ländlichen Raum ist die lokale Konkurrenz oft weniger digital aktiv, was den Vorsprung leichter erreichbar macht.

Artikel teilen: