Öffne jetzt dein WordPress-Dashboard und schau auf die Versionsnummer. Steht dort etwas unter 7.0.2, 6.9.5 oder 6.8.6? Dann läuft deine Website seit dem Abend des 17. Juli mit einer aktiv ausgenutzten Sicherheitslücke, die ohne Login und ohne Plugin funktioniert. WordPress hat deshalb Notfall-Updates veröffentlicht und für viele Installationen automatisch erzwungen. Parallel bleiben noch 13 Tage bis zur EU-KI-Kennzeichnungspflicht, und eine weit verbreitete Übersetzungs-Erweiterung hat ebenfalls eine kritische Lücke.
Was du in 10 Minuten erfährst:
- Warum die WordPress-Lücke "wp2shell" so gefährlich ist und wie du sofort prüfst ob du betroffen bist
- Was am 2. August für KI-Chatbots und KI-Inhalte auf deiner Website konkret gilt
- Warum Loco Translate mit über einer Million Installationen sofort geprüft werden muss
Ein akuter WordPress-Notfall, eine feststehende gesetzliche Frist und eine weit verbreitete Plugin-Lücke, alle drei in derselben Woche. Als Webentwickler aus der Region Oldenburg habe ich seit dem 17. Juli mehrere Websites aus Ganderkesee und Wildeshausen geprüft. Die WordPress-Lücke hat höchste Priorität, weil sie bereits aktiv ausgenutzt wird.
Thema | Dringlichkeit | Betrifft dich wenn... |
|---|---|---|
WordPress wp2shell | 🔥🔥 Aktiv ausgenutzt, JETZT | Du WordPress 6.9 bis 7.0.1 nutzt, auch ohne Plugins |
EU AI Act Art. 50 | ⏰ 13 Tage (02.08.) | Du einen KI-Chatbot oder KI-Bilder nutzt |
Loco Translate | 🔥 CVSS 8.8, sofort updaten | Du WordPress mit Loco Translate ≤ 2.8.5 nutzt |
WordPress-Notfall wp2shell: Was du jetzt sofort prüfen musst
Am 17. Juli 2026 hat WordPress außerplanmäßige Sicherheitsupdates veröffentlicht: Version 7.0.2, 6.9.5 und 6.8.6. Der Grund ist eine Kette aus zwei Schwachstellen, CVE-2026-63030 und CVE-2026-60137, die zusammen eine Pre-Auth-Remote-Code-Execution ermöglichen, CVSS 9.8. Pre-Auth bedeutet: kein Login nötig. Betroffen sind Standard-Installationen von WordPress 6.9 bis 7.0.1, unabhängig davon welche Plugins installiert sind.
Das ist ungewöhnlich, weil die meisten kritischen WordPress-Lücken der letzten Monate in Plugins steckten, nicht im Core selbst. Patchstack meldete bereits am Abend des 17. Juli aktive Ausnutzung. WordPress.org hat als Reaktion Zwangs-Auto-Updates für betroffene Installationen aktiviert, das heißt: Viele Websites wurden automatisch aktualisiert, ohne dass der Betreiber etwas tun musste.
Trotzdem gilt: Nicht jede Installation hat automatische Updates aktiviert, gerade wenn individuelle Anpassungen oder bestimmte Hosting-Konfigurationen vorliegen. Wer selbst hostet oder Auto-Updates deaktiviert hat, muss manuell prüfen und aktualisieren.
Sofortcheck: Bist du betroffen?
Im WordPress-Dashboard unter "Dashboard" → "Updates" die aktuelle Version prüfen. Alles unter 7.0.2 (bei der 7er-Reihe), unter 6.9.5 (bei der 6.9er-Reihe) oder unter 6.8.6 (bei der 6.8er-Reihe) ist verwundbar. Update sofort einspielen, auch wenn die Auto-Update-Meldung nicht erschienen ist.
Läuft deine WordPress-Version noch mit der Sicherheitslücke?
Im kostenlosen Website-Check prüfe ich deine WordPress-Version sofort und sage dir konkret ob Handlungsbedarf besteht.
- Kostenlos für Betriebe aus der Region
- Sofortige Rückmeldung ob du betroffen bist
⏱️ Antwort binnen 24 Stunden
EU-KI-Kennzeichnungspflicht: 13 Tage bis zum Stichtag
Am 2. August 2026 tritt Artikel 50 der EU-KI-Verordnung in Kraft. Die EU-Kommission hatte am 8. Mai 2026 Entwurfs-Leitlinien veröffentlicht, eine Konsultation lief bis zum 3. Juni. Im Juni erschien die finale, freiwillige "Code of Practice on Transparency of AI-Generated Content" mit einheitlichen Standard-Icons zur Kennzeichnung. Die Signatur-Frist für Unternehmen, die diesen Kodex offiziell unterzeichnen wollen, endet heute, am 22. Juli 2026 um 18:00 Uhr MEZ. Das betrifft aber nur die freiwillige Selbstverpflichtung, die gesetzliche Pflicht nach Artikel 50 selbst gilt unabhängig davon für alle.
Was konkret zu tun ist: Chatbot-Begrüßungen müssen anpasst werden, ein einfacher Satz wie "Ich bin ein KI-Assistent von [Betriebsname]" reicht in den meisten Fällen. KI-generierte Bilder müssen sichtbar gekennzeichnet werden, im Idealfall mit den neuen einheitlichen Standard-Icons aus dem Code of Practice. Für redaktionell verantwortete Texte, bei denen ein Mensch die inhaltliche Verantwortung trägt, greift weiterhin die Ausnahme.
Die Sanktionen nach Artikel 99 sind erheblich: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem welcher Betrag höher ist. Für kleine und mittlere Unternehmen sowie Start-ups gilt dagegen jeweils der niedrigere der beiden Beträge, eine wichtige Erleichterung gegenüber der ursprünglichen Formulierung.
Wichtig zur Einordnung: Der Digital Omnibus vom Juni 2026 hat nur die Fristen für Hochrisiko-Anwendungen nach Anhang III verschoben, auf Dezember 2027 beziehungsweise August 2028. Der 2. August 2026 für die Transparenzpflicht aus Artikel 50 bleibt davon unberührt und steht fest.
Was sich seit dem letzten Artikel geändert hat
Neu seit unserem letzten Bericht zu diesem Thema: Die finalen Standard-Icons für KI-Kennzeichnung liegen jetzt vor, statt nur angekündigt zu sein. Wer noch keine Kennzeichnung eingerichtet hat, kann sich an diesen einheitlichen Symbolen orientieren, statt eine eigene Lösung zu entwerfen.
Ist dein Chatbot oder deine KI-Bildnutzung schon gekennzeichnet?
Ich schaue mir an, welche KI-Elemente auf deiner Website laufen und was bis zum 2. August noch ergänzt werden sollte.
- Bestandsaufnahme deiner KI-Tools
- Klare Einschätzung statt Rechtsberatung
⏱️ Antwort binnen 24 Stunden
Loco Translate: Über eine Million Installationen betroffen
Wordfence hat am 15. Juli 2026 eine kritische Lücke in Loco Translate offengelegt, CVE-2026-15005, CVSS 8.8. Betroffen sind alle Versionen bis einschließlich 2.8.5, gefixt in Version 2.8.6. Die Lücke ist eine Cross-Site-Request-Forgery durch fehlende oder fehlerhafte Nonce-Validierung in der Funktion execTemplate.
Technisch nutzt der Angriff einen php://filter-Stream-Wrapper im template-Parameter, was die CSRF-Lücke zu einer Remote-Code-Execution eskalieren kann. Für Nicht-Techniker übersetzt: Ein Angreifer kann einen eingeloggten Administrator dazu bringen, unbemerkt eine schädliche Aktion auszuführen, die am Ende zur Codeausführung auf dem Server führt.
Loco Translate ist ein sehr verbreitetes Plugin für die Übersetzung von WordPress-Websites, mit über einer Million aktiven Installationen laut WordPress.org. Wer mehrsprachige Inhalte auf seiner Website anbietet, hat es möglicherweise ohne bewusste Entscheidung im Einsatz, weil es oft von Agenturen bei der Einrichtung standardmäßig installiert wird.
Aus der Praxis
Was ich bei Website-Checks in der Region häufig sehe: Übersetzungs-Plugins wie Loco Translate werden einmal eingerichtet und danach kaum noch beachtet, weil die Übersetzungsarbeit selbst abgeschlossen ist. Genau das macht sie zu einem übersehenen Sicherheitsrisiko. Ein Update auf 2.8.6 ist in wenigen Minuten erledigt.
Was heute noch zu tun ist
Die Priorität ist eindeutig. Zuerst die WordPress-Kernversion prüfen und gegebenenfalls updaten, das hat höchste Dringlichkeit, weil die Lücke bereits aktiv ausgenutzt wird. Danach, falls installiert, Loco Translate auf 2.8.6 aktualisieren. Beides zusammen dauert bei den meisten Installationen weniger als zehn Minuten.
Für die KI-Kennzeichnungspflicht bleiben noch 13 Tage. Das reicht für eine ruhige Bestandsaufnahme: Welche Chat-Tools und KI-generierten Inhalte laufen auf der eigenen Website, und ist bereits ein Hinweis vorhanden. Wie ich in der letzten Ausgabe zu diesem Thema beschrieben habe, ist der technische Aufwand meist überschaubar, sobald klar ist, was überhaupt betroffen ist.
Du weißt jetzt, was heute Priorität hat
Lass uns klären, ob deine Website betroffen ist und was als Nächstes ansteht.
Termin vereinbaren →