WordPressの人気プラグイン「Kirki」に管理者アカウント乗っ取りのおそれ（CVE-2026-8206）

何が起きたか

「Kirki」は、WordPress のテーマの見た目を細かくカスタマイズするための機能を提供する、無料の人気プラグインです。WordPress公式のプラグイン配布ページでは、50万以上のサイトで有効化されていると表示されています。

このプラグインの「パスワードを忘れた場合」の再設定機能に不具合があり、「CVE-2026-8206」という管理番号がつけられました。本来は、再設定用のリンクは登録済みのメールアドレス宛にしか送られないはずですが、この不具合では、ログインIDだけを指定すれば、再設定リンクを攻撃者自身が指定したメールアドレス宛に送らせることができました。窓口の受付係が、来訪者の名前（ログインID）を聞いただけで本人確認をせず、新しい鍵を来訪者が口で言った宛先にそのまま送ってしまうようなものです。ログインすら不要で、管理者を含む任意のアカウントを乗っ取れてしまう、という内容です。

深刻さを表す点数（CVSS）は、報告したセキュリティ企業により 9.8〜10 とされています。10点満点に近く、最も深刻な部類です。セキュリティ企業Wordfenceは、修正版の公開後も実際の悪用の試みを多数ブロックしたと報告しています。

誰に関係するか

次の条件に当てはまるサイトが対象です。

• WordPress で「Kirki」プラグインが有効になっている
• Kirki のバージョンが 6.0.0 から 6.0.6 である（6.0.7 以降は修正済み。5系以前は対象外）

注意したいのは、Kirki は単体で追加するだけでなく、多くの無料・有料のWordPressテーマに同梱されているという点です。いわば、内装の注文窓口が最初から建物にセットで付いてくるようなもので、「プラグインを自分で追加した記憶がない」という場合でも、使っているテーマの一部として動いていることがあります。管理画面のプラグイン一覧を確認するか、分からない場合は制作会社に確認してもらいましょう。

何をすべきか

1. バージョンを確認する

WordPress の管理画面から「プラグイン」を開き、「Kirki」があるか、あればバージョンがいくつかを確認します。分からない場合は、HEIMVAIL の無料チェックで作れる依頼文を使って制作会社・管理会社に確認を依頼してください。

2. 対象なら更新する

バージョンが 6.0.0〜6.0.6 であれば、すぐに 6.0.7 以降に更新してください。すぐに更新できない場合は、プラグインを一時的に無効化することも検討しましょう。

3. 乗っ取られていないか確認する

すでに悪用の試みが多数報告されている不具合です。窓口の鍵が一度誰かの手に渡ってしまった可能性があるので、「ユーザー」の一覧に見覚えのない管理者アカウントが追加されていないか、見慣れないプラグインがインストールされていないかも、あわせて確認することをおすすめします。

よくある質問

自分のサイトは影響を受けますか？

WordPress で「Kirki」というプラグインが有効になっており、そのバージョンが 6.0.0〜6.0.6 の場合に影響を受けるおそれがあります。Kirki は多くの無料・有料テーマに同梱されているため、自分で追加した記憶がなくても対象になっている場合があります。プラグイン一覧か、制作会社への確認が必要です。

Kirki というプラグイン名を知らない場合はどうすればいいですか？

管理画面の「プラグイン」一覧に「Kirki」がないか確認するか、制作会社・保守会社に確認を依頼してください。テーマに組み込まれて見えにくい形で動いている場合もあります。

何をすればいいですか？

バージョンが 6.0.0〜6.0.6 であれば、6.0.7 以降への更新をすぐに行ってください。更新できない場合は、プラグインを一時的に無効化することも検討してください。すでに乗っ取られている可能性がある場合は、管理者アカウント一覧に見覚えのないアカウントがないかも確認しましょう。

参考にした公開情報

• WordPress.org：Kirki プラグイン配布ページ（変更履歴・有効インストール数）
• BleepingComputer：悪用の報告記事（英語）

この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。