WordPress Page BuilderプラグインKirkiは、認証なしで管理者アカウントを含む任意のユーザーアカウントを奪う可能性がある致命的なセキュリティ脆弱性（CVE-2026-8206、CVSS 9.8）を発見しました。この脆弱性は、プラグインのパスワードリセット機能に存在するロジック障害を悪用する方法であり、攻撃者がユーザー名（Username）だけを知っていれば、リセットリンクを自分の電子メールで傍受してアカウントを完全に掌握する可能性があります。
現在50万以上のサイトで使用されているKirkiはバージョン6.0.0～6.0.6が脆弱であり、これを実際に悪用した攻撃がすでに活発に行われています。開発サイン Themeumは、脆弱性の報告を受けてから3日後に脆弱性を修正したバージョン6.0.7を展開しました。 Kirkiを使用している場合は、すぐに6.0.7以降のバージョンにアップデートしてください。
Kirkiプラグインとは？
キルキはもともと WordPress テーマ開発者向けのCustomizerフレームワークとして出発しました。最近ではDroipというビジュアルビルダーと統合・リブランドされ、CustomizerフレームワークとFreeformビジュアルウェブサイトビルダーが一つのプラグインに統合されました。
現在50万以上のサイトにインストールされ使用されているこのプラグインは、行と列のレイアウトの制約なしに自由にデザインできるインフィニットキャンバス方式のビジュアルエディタを提供し、コーディングなしでランディングページから完成型ウェブサイトまで構築できます。フォームビルダー、インタラクションタイムライン、ポップアップビルダー、ダイナミックCMSなどが組み込まれており、100以上のプレミアムテンプレートキットも提供しています。従来のグリッドベースのページビルダーではなく、FigmaやWebflowに近い自由度の高いデザイン体験を目指すオールインワンソリューションです。
キルキvs Elementor vs Divi 5の比較
Kirkiはもともとテーマ開発者向けCustomizerフレームワークで始まったが、ビジュアルビルダーであるDroipを吸収・統合しながら現在は エレメンのような市場を直接狙う競争相手に変貌しました。以下はDiviテーマ開発会社のElegant Themes ブログ記事を参考にキルキと Elementor、Diviを比較した表です。
Diviはベストセリングテーマです Avadaに似た多目的 WordPress テーマで Avadaと同様の機能を提供しています。 Avadaと販売量も似ています。 Diviはライセンス期間（1年または生涯）の間無制限のサイトに設置することができ、有料テーマの中では最も多く設置されたテーマに挙げられています。
WordPress Kirkiプラグインのセキュリティ脆弱性を修正
脆弱性の概要
| アイテム | 内容 |
|---|---|
| CVE番号 | CVE-2026-8206 |
| CVSSスコア | 9.8 (重大) |
| 影響を受けるバージョン | キルキ 6.0.0〜6.0.6 |
| パッチバージョン | 6.0.7 （2026年5月18日リリース）（2026年6月5日現在の最新バージョンは6.0.9です） |
| 使用しているサイトの数 | 50万以上のサイト、そのうち 約15万サイトが脆弱なバージョンを使用しています |
| 悪用状態 | 実際の脆弱性を悪用した攻撃が活発に行われている |
脆弱性の詳細
今回発見されたセキュリティ脆弱性は、Kirkiプラグインのパスワードリセット機能に関連しており、認証されていない攻撃者がログインせずに特定のユーザーのパスワードリセットリンクを自分の制御する電子メールに送信するように操作できる欠陥です。
攻撃プロセス：
- 攻撃者がターゲットとしたアカウントのユーザー名（Username/ID）を把握します。 （例：管理者アカウント名）
- KirkiプラグインのREST APIパスワードリセットリクエストに ターゲットのユーザー名과 攻撃者本人のメールを一緒に含めて送信します。
- プラグインがユーザー名を介して正常なアカウントであることを識別した後、脆弱なロジックが原因でパスワードリセットリンクがシステムに登録されている電子メールではありません リクエストに含まれる攻撃者のEメールに発送します。
- 攻撃者が受信したリンクをクリックして新しいパスワードを設定し、アカウントを完全に制御します。
👉管理者のユーザー名をサイトのドメイン名（例：example.comドメインのexampleを管理者のユーザー名として使用）、またはadminなどのユーザー名を使用すると危険です。また、他人が推測できない強力なパスワードを使用する必要があります。
フル攻撃チェーンの特徴：
- 認証不要： ログインや権限のない外部の攻撃者も悪用する可能性があります。
- ユーザーインタラクションは不要： 被害者がリンクをクリックまたは介入する必要はありません。
- 低い攻撃の複雑さ: APIリクエスト構文を送信するレベルで、技術的な難易度が非常に低いです。
- 最高危険度： その結果、管理者権限を奪取して悪意のあるプラグインをインストールし、 Webシェル 展開、サイト改ざんなど、システムを完全に制御できます。
ユーザーアクション
Kirkiプラグインを使用している場合は、最新バージョン（6.0.7以降）にアップデートしてください。
参考までに WordPress コア、テーマ、プラグインを常に最新バージョンに更新することが望ましいです。特に人気のあるプラグインでセキュリティの脆弱性が発見され修正されると、悪用された攻撃が発生する可能性があります。
プラグインを更新し、次の点もチェックしてみてください。
- ユーザー » すべてのユーザーに奇妙なユーザーがいないことを確認してください。
- FTP / SFTPにアクセスして、奇妙な名前のファイルがないことを確認します。
- Wordfenceセキュリティプラグインを使用してサイトをスキャンして、改ざんされたファイルがないかどうかを判断します。
この脆弱性は、 技術的な知識がなくても悪用可能で、 すでに積極的に攻撃に悪用されていますだから遅滞なく対応しなければなりません。
👉サイトが悪意のあるコード（マルウェア）に感染したり、ハッキングを受けて解決するのに苦労したり、その他 WordPress またはWebホスティング関連のトラブルシューティングが必要な場合 ここでサービス（有料）を依頼することができます。
コメントを残す