WordPressを使っているなら、今すぐプラグインのバージョンを確認してください。WordPressプラグイン「Kirki」に致命的な脆弱性（CVE-2026-8206）が見つかり、50万以上のサイトが管理者アカウントを乗っ取られる危険にさらされています。攻撃者はログイン情報がなくても、パスワードリセット機能を悪用するだけでサイトを完全に乗っ取れます。すでに攻撃は始まっており、Wordfenceのファイアウォールは24時間以内に222件以上の攻撃試行をブロックしています。
何が起きているのか
Kirkiはページビルダー・テーマカスタマイザーとして50万以上のサイトで使われている人気プラグインです。バージョン6.0.0〜6.0.6に深刻な欠陥があり、攻撃者はアカウントを持たずにパスワードリセットリンクを自分のメールアドレスに送り込むことができます。リセットリンクを受け取った攻撃者は、管理者アカウントを含むどのアカウントでも乗っ取れます。
同時に、Burst Statisticsプラグインのバージョン3.4.0〜3.4.1.1にも認証バイパスの脆弱性が見つかっており、攻撃者が管理者権限でREST APIにアクセスして新しい管理者アカウントを作成できる状態です。2つのプラグインで同時に問題が起きており、WordPressサイトの管理者は今すぐ対応が必要です。
どうやって攻撃されるのか
技術的な話を噛み砕くと、こういうことです。
通常のパスワードリセットは「登録済みのメールアドレスにリセットリンクを送る」という仕組みです。ところがKirkiの脆弱性では、攻撃者が「ユーザー名」と「攻撃者自身のメールアドレス」を指定して送信すると、そのユーザーのリセットリンクが攻撃者のメールに届いてしまいます。あとはリセットリンクを使ってパスワードを変更するだけで、管理者アカウントを乗っ取れます。
ユーザー名はWordPressの投稿者ページなどから推測・列挙できるケースが多く、認証情報が不要なため攻撃の難易度が非常に低いです。専門的な技術がなくても実行できる攻撃です。
WordPressのプラグイン更新率は低く、パッチがリリースされてから数週間〜数ヶ月アップデートしないサイトが多いのが現実です。無料版Wordfenceユーザーへのファイアウォール保護は6月8日まで提供されないため、それまでの間は特にリスクが高い状態です。
今すぐやること
WordPress管理画面→プラグイン→Kirkiのバージョンを確認してください。6.0.0〜6.0.6を使っているなら今すぐ6.0.7以上にアップデートが必要です。
Burst Statisticsを使っているなら3.4.2以上にアップデートしてください。アクセス解析系プラグインとして多くのサイトに入っています。
WordPress管理画面→ユーザー→管理者権限のアカウントに見覚えのないものがないか確認してください。攻撃を受けた痕跡として、不審な管理者アカウントが作成されているケースがあります。
今後の攻撃を検知・ブロックするために、Wordfenceの導入を検討してください。無料版でも基本的な保護は受けられます。ただし今回の脆弱性については6月8日以降にファイアウォール保護が適用されます。
なぜWordPressの脆弱性は繰り返されるのか
WordPressはオープンソースで誰でもプラグインを作れる仕組みのため、品質にばらつきがあります。セキュリティの専門家がいない個人開発者や小規模チームが作ったプラグインは、コードレビューが甘くなりがちです。
もう一つの問題は更新率の低さです。パッチがリリースされても、サイト管理者が気づかずに放置しているケースが大量にあります。今回も修正版が出ているのに、15万サイトがまだ脆弱なバージョンを使い続けています。
WordPressサイトのセキュリティは「作ったら終わり」ではありません。プラグインの更新・不要プラグインの削除・定期的なセキュリティチェックを継続することが、サイトを守る唯一の方法です。
島根県から全国対応
プラグインのアップデート管理・セキュリティチェック・不審なアカウントの確認など、WordPressサイトの保守対応を行っています。「自分のサイトが心配」という方はお気軽にご相談ください。
まとめ・チェックリスト
WordPressサイトの保守・セキュリティ対策のご相談はお気軽にどうぞ。
WordPressの保守・セキュリティ対策のご相談はこちら
無料相談する →