Die aktuelle Runde an WordPress-News ist keine zufällige Sammlung von Produktupdates. Im Mai 2026 werden mehrere ältere Trends operativ: WordPress 7.0 steht kurz vor dem Release, KI wandert in die Infrastruktur, die Ökonomie der Marktplätze verändert sich, und die Sicherheit von Plugins zeigt erneut den Unterschied zwischen einem gepflegten und einem fragilen Stack.
Im März ging es um WordPress 7.0, Marktanteil und KI-Druck. Dieses Update ist enger und praktischer. Die Frage ist nicht mehr, ob KI WordPress beeinflusst. Sie zeigt sich bereits in der Release-Planung, in den WooCommerce-APIs, in der Produktbündelung und im Risikomanagement.
Aktualisierung vom 15. Oktober 2026: Jeder Punkt unten wurde erneut an der Primärquelle geprüft (wordpress.org, make.wordpress.org, der eigene Blog des Anbieters oder die Meldung der Sicherheitsforscher). Punkte, die sich nicht auf eine Primärquelle zurückführen ließen, haben wir entfernt, und Zahlen, die die Primärquelle anders angibt, korrigiert.
Wann erscheint WordPress 7.0 und welche Funktionen fallen weg
Der wichtigste technische Meilenstein ist WordPress 7.0 RC4, veröffentlicht am 14. Mai 2026, samt dem zugehörigen Field Guide. RC4 bedeutet, dass die stabile Version sehr nah ist, und markiert den String Freeze für Übersetzer. Gleichzeitig zeigt der Zyklus eine pragmatischere Release-Planung, als das frühere Marketing rund um 7.0 vermuten ließ.
Echtzeit-Zusammenarbeit war eine der sichtbarsten geplanten Funktionen, wurde für dieses Release aber aus Core entfernt. Der Beitrag des Core-Teams vom 8. Mai nennt Matt Mullenweg als Entscheider: Er war nicht überzeugt, dass der aktuelle Ansatz robust genug ist. Als Bedenken nennt der Beitrag Angriffsfläche und Umfang, Race Conditions, Serverlast und Speichereffizienz, dazu Fehler, die beim Fuzz-Testing immer wieder auftauchten. Der Zeitplan blieb unverändert, und eine Zielversion für die Funktion nennt der Beitrag nicht, nur ein künftiges Release. Für Agenturen und Website-Betreiber ist das wichtig, denn ein Release Candidate ist keine Wunschliste. Ab diesem Punkt zählen Kompatibilität, Tests und operative Disziplin mehr als Roadmap-Ambitionen.
Die stabile Version war für den 20. Mai 2026 geplant. Dieses Datum stammt aus einem überarbeiteten Zeitplan vom 22. April, der den ursprünglichen Termin 9. April ersetzte. Parallel bereitete das WordPress-AI-Team Version 1.0 seines AI-Plugins für den 19. Mai vor, einen Tag vor Core. Für DSGVO-sensible Mittelstandsprojekte ist das relevant: Abilities API in Core und die Kontrollmechanismen im Plugin müssen zusammen gedacht werden.
Vor einem Produktiv-Rollout sollten Teams prüfen:
- Kompatibilität von Theme und Plugins,
- eigene Blöcke und Verhalten des Editors,
- WooCommerce-, LMS-, Membership- und Redaktions-Workflows,
- Integrationen über REST API, WP-CLI oder eigene Endpunkte.
Für komplexe kommerzielle Websites ist ein Update am ersten Tag weiterhin keine gute Standardwahl. Auf Staging testen, Logs vergleichen, geschäftskritische Abläufe prüfen und dann das Wartungsfenster planen.
Was WordPress 7.0 Armstrong am 20. Mai ausgeliefert hat
WordPress 7.0 “Armstrong” erschien am 20. Mai 2026, zum neuen Termin. Die Ankündigung nennt mehr als 875 Mitwirkende, davon über 200 zum ersten Mal, und mehr als 420 Verbesserungen und Fehlerbehebungen.
Für Entwickler verändern die KI-Bausteine die Architektur. Der Field Guide listet:
- WP AI Client, eine anbieterunabhängige Schnittstelle, über die Plugins mit generativen KI-Modellen sprechen, mit Modellpräferenzen über
using_model_preference(), - Connectors API und eine Connectors-Seite im Backend, auf der Betreiber Verbindungen zu externen KI-Anbietern verwalten,
- Client-Side Abilities API, das JavaScript-Gegenstück zur PHP-Abilities-API, auf dem auch der AI Client aufbaut.
Zwei Kompatibilitätshinweise aus dem Field Guide gehören auf jede Update-Checkliste. Die Mindestversion von PHP für Core ist jetzt 7.4, ein Hosting mit PHP 7.2 oder 7.3 blockiert also das Update. Der Editor läuft jetzt im iframe, und der Field Guide verknüpft das mit Version 3 der Block-API. Ältere eigene Blöcke mit einer früheren apiVersion müssen daher im Editor getestet werden, bevor das Update in Produktion geht.
Der Rest des Releases betrifft Editor und Backend: ein neues Farbschema “Modern”, View Transitions in wp-admin, ein Tastaturkürzel für die Command Palette, eine Schriftbibliothek für Block-, Hybrid- und klassische Themes, visuelle Revisionen, Sichtbarkeit von Blöcken je Gerät, ein Breadcrumbs-Block und Block-Registrierung nur mit PHP. Bildgenerierung, Vorschläge für Titel und Auszüge sowie Alternativtexte gehören nicht zu Core. Sie stecken im separaten AI-Plugin.
Warum Liquid Web die Marke StellarWP einstellt
Dass Liquid Web die Marke StellarWP aufgibt, ist an sich keine Überraschung. Nach Übernahmen vereinfachen größere Gruppen oft ihre Markenarchitektur. Kadence, LearnDash, The Events Calendar und Give sind bekanntere Produktnamen als die Dachmarke.
Die Primärquelle ist die Ankündigung von Liquid Web vom 12. Mai 2026. Danach bündelt Liquid Web by Nexcess seine WordPress-Software in vier Kernprodukten: Kadence, LearnDash, The Events Calendar und Give. Der Name StellarWP kommt darin nicht vor. Von außen beobachtbar ist: stellarwp.com antwortet inzwischen mit einer dauerhaften Weiterleitung auf liquidweb.com (geprüft am 15. Oktober 2026).
Derselbe Beitrag beschreibt, was mit den kleineren Marken passiert. SolidWP, Iconic, Restrict Content Pro und MemberDash werden nicht mehr als eigenständige Produkte verkauft:
| Früheres Produkt | Wo die Funktionen jetzt liegen |
|---|---|
| SolidWP | Kadence Security, in Kadence |
| Iconic | Kadence Shop Kit, in Kadence |
| Restrict Content Pro | Kadence Memberships, in Kadence |
| MemberDash | LearnDash |
Für Agenturen, die Lizenzen ihrer Kunden verwalten, zählen die operativen Details mehr als das Branding. Laut Ankündigung bleiben bestehende Lizenzschlüssel gültig und ändern sich nicht, aktuelle Pläne behalten Preis und Funktionen, solange das Abo aktiv ist, und der Wechsel in einen neuen Plan ist freiwillig, mit Gutschrift für die ungenutzte Laufzeit. Alle Produkte liegen jetzt in einem Portal unter software.liquidweb.com, alte Portaladressen wie my.solidwp.com leiten dorthin weiter. Läuft ein Abo aus, muss einer der neuen Pläne gekauft werden, um den Zugang wiederherzustellen. Einige ältere Werkzeuge werden eingestellt: Sie funktionieren weiter, erhalten aber nur noch kritische Sicherheitspatches, und das nur bis April 2027. Bei Kadence betrifft das unter anderem WooCommerce Elementor, WooCommerce Elementor Pro, AMP, Slider Pro und Pricing Table, und die kostenlosen Themes Virtue, Pinnacle und Ascend sind nicht mehr auf WordPress.org verfügbar.
Die Lehre betrifft das Abhängigkeitsmanagement. Wenn die Dachmarke schneller verschwindet als das Lizenzportal aktualisiert wird, rufen Kunden zuerst ihre Agentur an. Für jedes kritische Plugin sollte bekannt sein, wem es gehört, wie oft es ausgeliefert wird, was sich nach einer Übernahme geändert hat und wie der Ausweichplan aussieht, falls sich die Produktrichtung ändert.
Wie viel zahlt Envato Autoren ab Juli 2026
Auch Envatos Abkehr vom alten Modell für exklusive Autoren ist bedeutsam. ThemeForest und CodeCanyon haben in den 2010er-Jahren geprägt, wie WordPress-Themes und kleinere Plugins verkauft wurden. Das Modell hatte echte Schwächen: schwere Bundle-Themes, Lock-in, ungleichmäßiger Support und schwierige Migrationen. Trotzdem gab es vielen Unternehmen einen schnellen Weg zum Markt.
Die Ankündigung im Envato Author Hub beschreibt die Änderung. Ab 1. Juli 2026 hebt Envato Market die Exklusivitätspflicht vollständig auf, schafft die Unterscheidung zwischen exklusiven und nicht exklusiven Konten ab und stellt alle Autoren auf eine Author Fee von 50 Prozent um: Autoren erhalten 50 Prozent des Artikelpreisanteils am Listenpreis. Envato räumt offen ein, dass das für exklusive Autoren weniger Einnahmen bedeutet. Für nicht exklusive Autoren sinkt die Gebühr von 55 auf 50 Prozent. Der neue Satz zeigt sich erstmals in der Auszahlung vom 15. August, die Änderungen stehen in den Abschnitten 9 und 13 der Envato Market Author Terms. Envato begründet den Schritt mit den Marktbedingungen und schreibt, das neue Modell liege näher an Envato Elements, das der Schwerpunkt des Unternehmens bleibe.
Das Timing passt zu einem längeren Muster. Als Shutterstock im Juli 2024 die Übernahme von Envato abschloss, hob die Pressemitteilung 650.000 Envato-Abonnenten und Envato Elements hervor und erwähnte Envato Market und seine Autoren nicht.
Das neue Erlösmodell macht Envato als exklusive Heimat für Autoren weniger attraktiv. Mehr Produktteams werden eigene Vertriebskanäle, Dokumentationsportale, private Lizenzsysteme und GitHub-basierte Entwicklungsprozesse aufbauen. Envato erlaubt das jetzt ausdrücklich: Ein Autor kann denselben Artikel auf Market und im eigenen Shop oder auf anderen Marktplätzen verkaufen. Für Käufer bedeutet das mehr Auswahl, aber auch mehr Sorgfaltspflicht.
Die praktische Frage lautet nicht mehr “Ist dieser Artikel auf einem Marktplatz beliebt?”. Sie lautet: “Kann dieser Anbieter das Produkt pflegen, klar unterstützen und mit unserem Stack kompatibel halten?”
CERN migriert 800 Websites auf WordPress
CERN hat 2025 angekündigt, WordPress als künftiges CMS einzusetzen. Die Sessionbeschreibung beim WordCamp Europe 2026 beziffert die Migration auf über 800 Websites, die automatisiert auf einen angepassten WordPress-Dienst umziehen. Das ist ein Programm, das die meisten Agenturen nie in ihrem Marketing zeigen, aber in Ausschreibungen und Governance-Runden sofort wiedererkennen.
Beim WordCamp Europe 2026 in Krakau eröffneten CERN Web Manager Joachim Valdemar Yde und Plattform-Ingenieur Francisco Borges Aurindo Barros am 5. Juni das Konferenzprogramm mit Two worlds collide: WordPress at CERN, der ersten Session nach der Begrüßung. Der Vortrag behandelte Governance, den Aufbau der Infrastruktur und die automatisierte Migration. Für europäische Agenturen ist das eine nützliche Referenz, wenn ein Kunde fragt, ob WordPress noch in “ernsthafte” Infrastrukturgespräche gehört. Schwierig ist nicht die Wahl von Core, sondern Rollen, Redaktionsabläufe, mehrsprachige Governance und Update-Richtlinien über Hunderte von Websites.
Wie legt man Berechtigungen für KI-Agenten in WordPress fest
Die wichtigste KI-Nachricht betrifft nicht die Textgenerierung. Sie betrifft die Infrastruktur.
Das WordPress-AI-Plugin (früher AI Experiments) erschien am 7. Mai in Version 0.9.0 mit dem Experiment Comment Moderation, das Kommentare per Sentiment-Analyse und Toxizitätserkennung bewertet und zur Prüfung markiert, mit dem Experiment Content Resizing und dem Befehl wp ai alt-text generate für Alternativtexte in großen Mengen. Version 1.0.0 folgte am 19. Mai mit zwei Governance-Experimenten: Request Logging lässt Administratoren KI-Anfragen und Antworten prüfen, Connector Approvals lässt Administratoren festlegen, welche Plugins die konfigurierten KI-Connectoren nutzen dürfen. WooCommerce bewegt sich in Richtung Abilities API und MCP-Adapter. Die Richtung ist klar: KI-Agenten sollen Daten nicht nur lesen, sondern kontrollierte Aktionen mit expliziten Berechtigungen ausführen.
Für kommerzielle Projekte ergeben sich praktische Fragen:
- wer die Token-Kosten trägt,
- welche Daten WordPress verlassen dürfen,
- wie Aktionen von Agenten protokolliert werden,
- wann eine menschliche Freigabe Pflicht ist,
- wie Lesezugriff von Aktionen getrennt wird, die Bestellungen, Produkte oder Inhalte ändern.
Hier liegt 2026 die ernsthafte WordPress-Entwicklungsarbeit. Der Wert liegt nicht in einem weiteren Chatbot, sondern im Entwurf von Berechtigungen, Audit-Trails, Kostenkontrolle und verlässlichen operativen Grenzen.
Was bringen WooCommerce 10.8 und 10.9 für KI-Agenten
Der WooCommerce-Entwicklerblog beschrieb die Commerce-Seite am 12. Mai. WooCommerce 10.9 führt kanonische Abilities ein für Produkte und Bestellungen:
woocommerce/products-query,woocommerce/product-create,woocommerce/product-update,woocommerce/product-delete,woocommerce/orders-query,woocommerce/order-update-status,woocommerce/order-add-note.
Jede Ability hat ihren eigenen permission_callback, der über das bestehende Berechtigungsmodell von WooCommerce läuft, und die Schema-Validierung weist unbekannte Felder ab, bevor etwas ausgeführt wird. WooCommerce pflegt keine eigene MCP-Implementierung, sondern bündelt das offizielle Paket wordpress/mcp-adapter, das einem MCP-Client drei Werkzeuge bereitstellt: Abilities entdecken, Ability-Informationen abrufen und eine Ability ausführen. Die ältere, aus REST abgeleitete MCP-Beta unter /wp-json/woocommerce/mcp bleibt als veralteter Übergangspfad und wird in einer künftigen Version entfernt. Der Beitrag nannte den 23. Juni 2026 als geplanten Release-Termin für 10.9.
Aktualisierung, : Die Entfernung hat jetzt eine Versionsnummer. Der WooCommerce-Entwicklerblog schrieb am 21. Oktober, dass WooCommerce 11.3 /wp-json/woocommerce/mcp entfernt und das Paket wordpress/mcp-adapter nicht mehr mitliefert. Shops verbinden KI-Clients dann über das Plugin MCP Adapter und ein WordPress-Anwendungspasswort statt über einen REST-API-Schlüssel von WooCommerce. Muss derselbe Agent auch einen Shopify-Shop oder ein eigenes Backend erreichen, finden Sie mehr unter MCP-Server-Entwicklung.
WooCommerce 10.8.0 erschien am 26. Mai, eine Woche später als geplant, um Spielraum rund um das Release von WordPress 7.0 zu lassen. Es brachte eine GraphQL-API mit eigenem Einstellungsbereich, und die Vorabhinweise zu 10.8 warnten, dass die Funktion noch in Arbeit ist.
Für Shops ist der praktische Test kein Demo-Chatbot. Es geht darum, ob Produktabfragen, Statuswechsel von Bestellungen und Notizen mit expliziten Berechtigungen und Audit-Logs abgesichert sind, bevor ein Agent Schreibrechte erhält. Die Liste oben ist ein guter Ausgangspunkt für diese Prüfung: Query-Abilities lesen, alle anderen schreiben.
Sicherheitswarnungen zu Avada und Burst Statistics
Aktuelle Warnungen zu Avada Builder und Burst Statistics zeigen dasselbe Muster aus verschiedenen Blickwinkeln. Beliebte WordPress-Werkzeuge ziehen Angreifer an, und ein einzelnes kompromittiertes Administratorkonto kann viele Websites gleichzeitig betreffen.
- Burst Statistics: Wordfence veröffentlichte am 13. Mai CVE-2026-8181, eine kritische Umgehung der Authentifizierung (CVSS 9.8) in den Versionen 3.4.0 bis 3.4.1.1 eines Plugins mit mehr als 200.000 aktiven Installationen. Ein nicht angemeldeter Angreifer, der einen Administrator-Benutzernamen kennt, konnte während einer REST-API-Anfrage als dieser Administrator handeln und im schlimmsten Fall ein neues Administratorkonto anlegen. Der Hersteller lieferte Version 3.4.2 am 12. Mai aus, einen Tag nach Eingang der Meldung.
- Avada Builder: Die Schwachstellendatenbank von Wordfence führt am 12. Mai eine SQL-Injection ohne Anmeldung (CVE-2026-4798) und einen Lesezugriff auf beliebige Dateien für angemeldete Nutzer (CVE-2026-4782), am 20. Mai dann eine Remote Code Execution ohne Anmeldung (CVE-2026-6279, CVSS 9.8) in Versionen bis 3.15.2. Alle sind als gepatcht markiert.
Nicht jede Sicherheitsnachricht war negativ. GravityKit hat kryptografische Paketsignaturen für seine kommerzielle Suite eingeführt. Laut technischer Übersicht wird jedes Paket beim Build mit Ed25519 über einen SHA-256-Hash der ZIP-Datei signiert, und die gemeinsame Bibliothek Foundation prüft die Signatur am Hook upgrader_pre_download, bevor WordPress etwas entpackt. GravityView 2.57 ist das erste Produkt mit dem Prüfer, und ein signiertes Widerrufsmanifest erlaubt GravityKit, einen kompromittierten Schlüssel zu sperren. Bei kommerziellen WordPress-Plugins ist das noch selten, und genau danach fragen Enterprise-Kunden nach der nächsten Supply-Chain-Schlagzeile.
Wartung darf 2026 nicht “Update klicken und hoffen” bedeuten. Nötig sind Multi-Faktor-Authentifizierung, getrennte Operator-Konten, Staging für Updates, Überwachung von Admin-Aktivitäten und eine Liste kritischer Plugins mit klarer Verantwortung.
Der Schlagzeilentrend ist KI, die operative Realität bleibt Sicherheit. Eine Website mit experimentellen Agenten-Workflows und schwachen Kontokontrollen ist nicht modern. Sie ist angreifbar.
Schadet Divi 5 der Performance und führt es zu Page-Builder-Lock-in
Elegant Themes erklärte Divi 5 in den Release Notes zu Divi 5.6 vom 25. Mai 2026 für produktionsreif, die Beta-Phasen sind damit beendet. Dieselben Notes enthalten Korrekturen für die Konvertierung von Divi 4 zu Divi 5, darunter Fälle, in denen der Backward Compatibility Mode nach der Migration aktiv blieb. Ein neues Framework beseitigt den Theme-Lock-in nicht, verändert aber die Performance-Diskussion für Websites mit Divi-lastigen Stacks, und jede Migration braucht eine Prüfung der konvertierten Layouts Seite für Seite.
Die Envato-Änderungen im Mai treiben mehr Autoren in den Direktvertrieb. Wer native Blöcke gegen kommerzielle Builder abwägt, findet in Gutenberg vs. Elementor vs. Divi 2026 die Audit-Matrix, die wir in Kundenprojekten nutzen.
Wie bereitet man eine WordPress-Website auf Version 7.0 vor
Das Mai-Update zeigt ein fragmentierteres, aber leistungsfähigeres WordPress-Ökosystem. Core wird vorsichtiger bei der Release-Qualität. WooCommerce bereitet sich auf agentenorientierte Workflows vor. Marktplätze verlieren einen Teil ihrer alten Anziehungskraft. Produktgruppen konsolidieren Marken nach Übernahmen. Große Institutionen wie CERN setzen auf WordPress im großen Maßstab. Und die Sicherheit entscheidet weiterhin, ob ein Stack professionell gepflegt wird.
Für Website-Betreiber ist das kein Grund zur Panik. Es ist ein Grund, WordPress als Plattform zu behandeln und nicht als einmalige Installation. Sinnvolle nächste Schritte sind Staging für 7.0 mit Prüfung der PHP-Version, eine Überprüfung der Plugin-Eigentümer, Lizenzchecks für alle Abhängigkeiten von ThemeForest oder CodeCanyon und ein kontrollierter KI-Workflow mit messbarem Nutzen.
Leitfaden zu WordPress 7.0 und KI-Integration
Dieser Beitrag ist ein Überblick über das Ökosystem. Zu Abilities API, MCP-Adaptern und Implementierungsdetails siehe den vollständigen Leitfaden zu WordPress 7.0 und KI-Integration.
