Web-News: WordPress-Lücke betrifft 350.000 Websites, Google-KI-Suche fast ohne Klicks

Drei Tage nach Veröffentlichung eines Patches richtet eine kritische WordPress-Lücke weiterhin massiven Schaden an, Google bestätigt das Ausmaß der Verschiebung hin zu einer klicklosen Suche, und KI-gesteuerte Browser wechseln vom Prototyp zur Massenverbreitung. Hier sind die Web-News vom 27. September 2026 — und was sie konkret für eine Website aus Tunesien bedeuten.

Kritische WordPress-Lücke (CVE-2026-87902) betrifft mittlerweile über 350.000 Websites

Am 24. September berichteten wir über die Notfall-Veröffentlichung von WordPress 7.1.2, das eine Path-Traversal-Lücke (CVE-2026-87902, CVSS-Wert 9.2) schließt, über die nicht authentifizierte Angreifer via des Parameters pagename beliebigen Code ausführen können. Drei Tage später hat sich die Lage verschärft: Laut Shadowserver-Daten, die von Tech Times ausgewertet wurden, bleiben über 350.000 Websites bis heute ungepatcht, obwohl die ersten Ausnutzungsversuche bereits weniger als vier Stunden nach Veröffentlichung des Patches begannen (Quelle: Tech Times).

Der Angriff verläuft laut Patchstack in drei von Sicherheitsforschern dokumentierten Phasen: Aufspüren verwundbarer Websites, Bestätigung der Codeausführung über das Skript pearcmd.php, und schließlich das Ablegen dauerhafter Webshells mit Namen wie wp-pear-rce-flag.php. Das Angriffsvolumen verzehnfachte sich am 23. September, nachdem eine automatisierte Scan-Vorlage öffentlich in Umlauf kam (Quelle: Patchstack). Die Lücke betrifft die Versionen 4.7.0 bis 7.1.1 — fast ein Jahrzehnt an Releases — und ist in den Versionen 7.1.2, 7.0.6, 6.9.9 und 6.8.10 behoben.

Google-Suche: Der KI-Modus endet in 93% der Fälle ohne Klick

Der Google-Webmaster-Bericht für September 2026 bestätigt die zunehmende Integration von KI in die Suchergebnisse, mit Karussell-Karten für aktuelle Ereignisse und Antworten, die nun von Gemini 3.7 Flash unterstützt werden (Quelle: Search Engine Roundtable). Semrush-Daten, die in diesem Monat zitiert wurden, liefern eine konkrete Zahl zu den Auswirkungen auf den Traffic: 93% der Suchanfragen im KI-Modus enden ohne einen einzigen Klick auf eine externe Website — verglichen mit 83% bei klassischen AI Overviews und 60% bei einer herkömmlichen Google-Suche.

Eine kleinere, aber für SEO-Teams relevante technische Änderung: Google wendet auf strukturierte JSON-LD-Daten nun ein einstufiges HTML-Unescaping an und hat neue Tracking-Parameter unter „google.com/goto" eingeführt, um seine Ergebnisse vor Drittanbieter-Tools wie SerpAPI zu schützen. Für jede Website, die von organischem Traffic lebt, bestätigen diese Zahlen einen bereits laufenden Trend: Eine gute Platzierung allein reicht nicht mehr, wenn Inhalte nicht so strukturiert sind, dass sie direkt in einer KI-Antwort zitiert werden können — auch ohne Klick.

Agentische KI-Browser skalieren: Atlas, Comet und Claude for Chrome

Die Landschaft der agentischen Browser, die wir am 24. September beleuchtet haben, hat sich in drei Kategorien geordnet: eigenständige Browser wie ChatGPT Atlas oder Perplexity Comet (kostenlos seit Oktober 2025), integrierte Erweiterungen wie Claude for Chrome oder Geminis „Auto Browse"-Modus, sowie cloudbasierte Agenten wie ChatGPT Agent (Quelle: SearchViu). Die Verbreitung nimmt deutlich zu: Claude for Chrome wuchs zwischen Dezember 2025 und Juni 2026 von rund 40.000 auf über 10 Millionen Installationen.

Der praktischste Punkt für jeden Website-Betreiber: Diese Agenten surfen mit demselben technischen Fingerabdruck wie ein menschlicher Besucher — residente IP-Adresse, identischer Chrome-User-Agent, authentifizierte Sitzung —, wodurch sich agentischer Traffic in klassischen Analyse-Tools kaum isolieren lässt. Bei einem Chrome-Marktanteil von rund 65% wird jede nativ integrierte KI-Funktion von Google voraussichtlich den größten Teil dieses agentischen Traffics erzeugen — was den Punkt aus unserem Beitrag zum WebMCP-Standard unterstreicht: klare, gut strukturierte Nutzerpfade zählen für Agenten genauso wie für menschliche Augen.

Das Wichtigste auf einen Blick

Drei konkrete Maßnahmen für jetzt

1. Aktualisieren Sie WordPress unverzüglich auf Version 7.1.2 (oder 7.0.6 / 6.9.9 / 6.8.10, je nach Branch), prüfen Sie Ihre Logs auf verdächtige Sequenzen im Parameter pagename und deaktivieren Sie register_argc_argv in Ihrer PHP-Konfiguration, falls Sie es nicht benötigen.
2. Prüfen Sie Ihre wichtigsten Seiten darauf, ob sie die Frage der Leser bereits in den ersten Zeilen direkt beantworten und saubere strukturierte Daten liefern — genau solche Inhalte werden am ehesten in einer KI-generierten Antwort zitiert, auch ohne Klick.
3. Überprüfen Sie Ihre Conversion-Pfade (Angebotsanfragen, Bestellungen, Terminbuchungen), damit sie sowohl für menschliche Besucher als auch für KI-Browser-Agenten nutzbar bleiben, die ein Formular im Auftrag jemandes ausfüllen.

Lesen Sie auch unseren Beitrag vom 24. September zur kritischen WordPress-Lücke und den KI-Browsern sowie den Artikel vom Folgetag über den neuen Release-Rhythmus von Chrome und Firefox und den WebMCP-Standard. Falls Ihre Website auf WordPress läuft, erfahren Sie auf unserer Seite zur WordPress-Betreuung und -Sicherheit in Tunesien mehr über unseren Wartungsansatz.