WordPress のプラグイン Kirki に脆弱性（CVE-2026-8206）— 管理者アカウントを乗っ取られる

何が起きたか

WordPress のテーマ設定によく使われるプラグイン「Kirki」に、管理者アカウントを乗っ取られる脆弱性（CVE-2026-8206、CVSS 9.8）があると、セキュリティ企業 Wordfence が 2026年6月1日に公表しました。パスワード再設定の機能で、ユーザー名と一緒に送られたメールアドレスへ再設定リンクを送ってしまうため、攻撃者が自分のメールで管理者のパスワードを変えられます。

修正版 6.0.7 は5月18日に出ていましたが、公表直後から攻撃が始まり、Wordfence は24時間で222件以上の攻撃を止めたと報じられました。

影響を受けたのは

• Kirki 6.0.0〜6.0.6 を入れている WordPress サイト
• 有効なサイトは50万以上で、その約4割が対象の版を使っていたとされます

自社で確認したいこと

• Kirki を 6.0.7 以降に更新する。プラグインの自動更新を有効にしておく
• 管理者ユーザーに見覚えのないものがないか、パスワードが変えられていないか確認する
• 見覚えのないプラグインやファイルが増えていないか確認する
• 制作会社に保守を任せている場合は、対応状況を問い合わせる