Prüfe jetzt dein WordPress-Dashboard unter Plugins. Wenn Avada oder Fusion Builder in der Liste steht und die Version unter 3.15.4 ist, hat jemand die technische Möglichkeit deine Website vollständig zu übernehmen, ohne sich vorher einloggen zu müssen. Gleichzeitig hat das Security-Plugin All-In-One Security selbst eine Sicherheitslücke, die seit Anfang Juni öffentlich bekannt ist. Und Google hat seine KI-Suche seit dem I/O-Event auf über eine Milliarde Nutzer ausgeweitet.
Was du in 10 Minuten erfährst:
- Warum Avada Builder CVSS 9.1 sofort geupdated werden muss und was bei einem erfolgreichen Angriff passiert
- Warum ausgerechnet ein Security-Plugin (AIOS) selbst eine Sicherheitslücke hat und was zu tun ist
- Was Googles AI Mode mit 1 Milliarde Nutzern für lokale Betriebe in der Region bedeutet
Vier Themen diese Woche, zwei davon betreffen ausschließlich WordPress-Nutzer, ein drittes nur Websites mit einem speziellen Theme, und das vierte alle Betriebe die in der Google-Suche sichtbar sein wollen. Als Webentwickler aus der Region Oldenburg beobachte ich die WordPress-Lücken-Welle der letzten Wochen mit wachsender Aufmerksamkeit. Das Muster ist immer dasselbe: Plugin in den Dashboards der Betriebe vorhanden, Update nicht eingespielt.
Thema | Dringlichkeit | Betrifft dich wenn... |
|---|---|---|
Avada Builder CVE-2026-8713 | 🔥 CVSS 9.1, sofort | Du Avada oder Fusion Builder ≤ 3.15.3 nutzt |
AIOS XSS CVE-2026-8438 | ⚠️ CVSS 7.2, prüfen | Du All-In-One Security ≤ 5.4.7 nutzt |
Motors Theme CVE-2026-1934 | 📋 CVSS 4.3, updaten | Du das Motors-Theme für Automarkt/Listings nutzt |
Google AI Mode | 📊 Strategie, mittelfristig | Du in der Google-Suche sichtbar sein willst |
WordPress-Schnellcheck: Was hast du installiert?
Sofort updaten: Avada oder Fusion Builder unter Version 3.15.4 — kritisch, keine Verzögerung.
Diese Woche prüfen: All-In-One Security unter Version 5.4.8 — hochgradig, zeitnah.
Relevant wenn: Motors-Theme installiert und unter Version 1.4.104 — medium, aber updaten.
Gilt für alle: Google Business Profil und strukturierte Daten auf der Website prüfen.
Avada Builder: Unauthentifiziertes Löschen von Dateien, CVSS 9.1
CVE-2026-8713 ist eine kritische Schwachstelle im Avada Builder, dem Page-Builder-Plugin des Avada-Themes von ThemeFusion. Betroffen sind alle Versionen bis einschließlich 3.15.3. Der Patch ist in Version 3.15.4 enthalten, veröffentlicht am 2. Juni 2026.
Die Lücke erlaubt unauthentifiziertes Löschen beliebiger Dateien via Path Traversal. Was das bedeutet: Ein Angreifer der noch nie auf deiner Website eingeloggt war, kann durch einen gezielten HTTP-Request eine Datei seiner Wahl vom Server löschen. Die gefährlichste Datei die dabei gelöscht werden kann ist die wp-config.php. Wenn diese Datei fehlt, startet WordPress im Setup-Modus. Im Setup-Modus kann jeder eine neue Datenbank konfigurieren und sich als Administrator anlegen. Das ist eine vollständige Übernahme der Website.
Wordfence hat bislang keine Massenausnutzung beobachtet. Der Researcher "daroo" hat die Lücke über das Wordfence-Bug-Bounty-Programm gemeldet und 3.600 US-Dollar Prämie erhalten. Das deutet auf verantwortungsvolle Offenlegung hin: Die Lücke war vor dem Patch nicht öffentlich. Trotzdem gilt: Seit der Veröffentlichung ist die Information für jeden abrufbar.
Avada hat über eine Million aktive Installationen. Es ist eines der meistverkauften kommerziellen Themes weltweit. Wer es nutzt und nicht geupdated hat, ist eine der Millionen verwundbarer Websites.
Auch bei deaktiviertem Avada Builder prüfen
Der Avada Builder ist oft als separates Plugin installiert, auch wenn das Theme aktiv ist. Prüfe unter "Plugins" sowohl nach "Avada" als auch nach "Fusion Builder". Wenn beide oder eines davon unter Version 3.15.4 ist: sofort updaten. Ein deaktiviertes Plugin mit der Lücke schützt nicht.
Weißt du welche Plugins auf deiner WordPress-Website installiert sind?
Im kostenlosen Website-Check schaue ich mir die Plugin-Versionen konkret an und zeige dir was sofort aktualisiert werden muss.
- Kostenlos für Betriebe aus der Region
- Alle kritischen Plugin-Versionen auf einen Blick
⏱️ Antwort binnen 24 Stunden
All-In-One Security mit XSS-Lücke: Das Security-Plugin selbst
CVE-2026-8438 ist eine Stored-XSS-Lücke in All-In-One Security (AIOS), einem der populärsten WordPress-Security-Plugins. Die Ironie dabei ist offensichtlich: Ein Plugin das deine Website absichern soll, hat selbst eine Sicherheitslücke.
Betroffen sind alle AIOS-Versionen bis einschließlich 5.4.7. Der Patch ist in 5.4.8 enthalten, aktuell ist bereits 5.4.9. Öffentlich bekannt ist die Lücke seit dem 5. Juni 2026. Gemeldet von Wordfence und Dmitrii Ignatyev.
Die technischen Details: Der CVSS-Vektor bewertet die Lücke als HIGH (Basiswert 7.2). Die Lücke steckt in der get_rest_route()-Funktion und ist über den aktivierten Debug-Modus in Kombination mit einer REST-API-Sperre ausnutzbar. Stored XSS bedeutet: Schadcode wird dauerhaft in der Datenbank gespeichert und wird bei jedem Aufruf der betroffenen Seite ausgeführt. Ein erfolgreicher Angriff kann Cookies stehlen, Formulardaten abgreifen oder im schlimmsten Fall eine Administrator-Session übernehmen.
Was zu tun ist: AIOS auf Version 5.4.9 oder höher updaten. Falls du den Debug-Modus in AIOS aktiviert hast, deaktivieren bis das Update eingespielt ist. Das Plugin-Dashboard zeigt dir die aktuelle Version direkt an.
Kurz: Motors Theme CVE-2026-1934
Das Motors-Theme für Automarkt-Websites und Kleinanzeigen-Portale hat eine Missing-Authorization-Flaw (CVSS 4.3, medium). Betroffen sind Versionen bis einschließlich 1.4.103, gefixt in 1.4.104. Die Lücke in stm_save_user_extra_fields() erlaubt es einem eingeloggten Nutzer mit Subscriber-Rolle, bezahlte Dealer-Mitgliedschaften ohne Zahlung freizuschalten.
Für die meisten lokalen Betriebe in der Region ist das Motors-Theme nicht relevant. Wer aber ein Fahrzeug-Marktplatz-Portal oder ein Kleinanzeigen-Verzeichnis betreibt: Update auf 1.4.104 einspielen und prüfen ob Mitgliedschaften unberechtigterweise aktiviert wurden.
Welche dieser Lücken betreffen deine Website konkret?
Im Website-Check schaue ich mir Plugin- und Theme-Versionen an und gebe dir eine klare Einschätzung welche Updates heute noch gemacht werden müssen.
- Avada, AIOS und Motors-Theme-Status prüfen
- Google-Sichtbarkeit und GBP-Einschätzung inklusive
⏱️ Antwort binnen 24 Stunden
Google AI Mode: Was 1 Milliarde Nutzer für lokale Betriebe bedeuten
Auf der Google I/O im Mai 2026 hat Google Search grundlegend umgebaut. AI Mode nutzt Gemini 3.5 Flash als neuen globalen Default und läuft in fast 200 Ländern und 98 Sprachen. Laut Sundar Pichai hat AI Mode inzwischen über eine Milliarde monatliche Nutzer. AI Overviews sogar über 2,5 Milliarden.
Das sind keine abstrakten Zahlen. Sie bedeuten: Wenn jemand in Ganderkesee oder Wildeshausen nach einem lokalen Betrieb sucht, bekommt er sehr wahrscheinlich eine KI-generierte Zusammenfassung zu sehen, bevor er auf einzelne Websites klickt. Diese Zusammenfassung zieht ihre Informationen aus Quellen die Google für vertrauenswürdig hält.
Für lokale Betriebe verschiebt sich damit etwas Grundsätzliches. Google selbst kommuniziert, dass der Algorithmus sich von "Prominence" zu "Popularity" verlagert, also von reiner Bekanntheit zu aktiver Interaktion. Bewertungen die beantwortet werden, Posts im Google Business Profil, strukturierte Daten auf der Website: All das fließt in die KI-Antworten ein.
Was das praktisch bedeutet: Wer sein Google Business Profil nicht gepflegt hat, liefert der KI wenig verwertbares Material. Die KI greift auf das zurück was vorhanden und strukturiert ist. Ein Betrieb der regelmäßig Posts veröffentlicht, Bewertungen beantwortet und Schema-Markup auf seiner Website hat, ist für AI Overviews besser aufgestellt als einer der nur eine vollständige Adresse eingetragen hat.
Wie ich im Artikel zu Gemini im Google Business Profil beschrieben habe, kommt dazu die direkte Gemini-Integration in GBP. KI-Aktivität und GBP-Pflege verstärken sich gegenseitig.
Was viele Betriebe noch nicht auf dem Schirm haben: Structured Data, also Schema-Markup auf der Website, ist eines der primären Signale die Google nutzt um KI-Antworten zu generieren. Wer LocalBusiness-Schema, OpeningHours und FAQPage auf seiner Website korrekt eingebunden hat, erhöht die Wahrscheinlichkeit in KI-Antworten auftauchen. Das hat nichts mit teurer SEO-Technik zu tun. Lotse CMS generiert LocalBusiness-Schema automatisch aus den hinterlegten Profildaten.
Aus der Praxis
Was ich bei Website-Checks in Betrieben aus Oldenburg und Umgebung sehe: Kein Schema-Markup, kein gepflegtes Google Business Profil, keine strukturierten FAQs auf der Website. Das war vor zwei Jahren "nice to have". In einer Welt in der 2,5 Milliarden Menschen monatlich KI-Antworten von Google bekommen, ist es ein relevanter Rankingfaktor. Wer jetzt beginnt, ist deutlich früher aufgestellt als der Durchschnitt der lokalen Konkurrenz.
Plugins prüfen und für die KI-Suche aufstellen
Lass uns beides zusammen angehen: was heute geupdated werden muss und wie dein digitales Profil für Googles KI-Suche aufgestellt ist.
Termin vereinbaren →