WordPressのテーマ設定などで長く利用されてきた「Kirki」に、保存型XSS（Stored Cross-Site Scripting）の脆弱性が公表されています。影響するのはKirki 6.3.1以下、CVE番号はCVE-2026-102173。
評価元によって扱いに少し違いがあり、Patchstackでは「Medium priority」、CVEを割り当てたWordfenceではCVSS **7.2（High）**と評価されています。Bricksforgeのような最優先級のRCEとは性格が違いますが、利用している場合は6.3.2へ更新しておきましょう。
Kirkiとは
Kirkiは、WordPressのテーマ設定やデザイン調整を作りやすくする仕組みとして長く利用されてきたプラグインです。特に以前から、テーマ開発者がWordPressのカスタマイザーへ色、フォント、レイアウトなどの設定項目を追加するためのフレームワークとして広く使われてきました。
「Kirkiなんて自分で入れた覚えがない」という場合でも、利用しているテーマ側から導入を求められていることがあります。現在のKirkiはさらに機能が増え、従来のCustomizer Frameworkに加えて、ドラッグ＆ドロップによるページ制作、フォーム、ポップアップ、アニメーション、動的コンテンツなども備えたWebサイトビルダーへ拡張されています。
WordPress公式ディレクトリでは50万以上のサイトで利用されています。
6.3.1以下に保存型XSS
今回の脆弱性では、一定の条件がそろったサイトで、ログインしていない第三者がユーザー登録時のデータへ悪意あるスクリプトを保存できる可能性があります。そのデータを利用するKirkiのページを管理者などが表示すると、保存されていたスクリプトが実行される可能性があります。
ただし、攻撃には条件があります。具体的には、WordPressの公開ユーザー登録が有効になっており、Kirkiのkirki-register要素を含む公開ページが存在することなどが必要です。
Kirkiをインストールしているだけで、すぐに攻撃できるというものではありませんが、未認証者から悪意あるデータを保存できる問題なので、古いバージョンを使い続ける必要はありません。
6.3.2へ更新を
この問題はKirki 6.3.2で修正されています。Patchstackでも6.3.2を修正版として案内しており、WordPress公式ディレクトリでも現在6.3.2が公開されています。
6.3.1以下を利用している場合は、バックアップを取ったうえで6.3.2以降へ更新しておきましょう。
「プラグイン一覧にないから大丈夫」とは限らない場合も
Kirkiはもともとテーマ開発との関係が深いツールです。
そのため、サイトによってはテーマの設定機能と密接に結び付いている場合があります。
Kirkiが単体プラグインとして入っているかだけでなく、テーマの説明や構成、必要プラグインなども確認しておくと安心です。特に、WordPressの「外観」やカスタマイザーから細かくデザインを変更できるテーマを利用している場合は、一度確認してみてもよいでしょう。
更新後はテーマ設定や表示を確認
Kirkiはテーマの見た目や設定に関係することが多いため、更新後にはトップページや主要ページの表示、カスタマイザー、テーマ設定などを確認しておきましょう。現在のKirkiではフォームなどの機能も備えているため、それらを利用している場合はフォーム送信についても確認しておくと安心です。
最優先級ではなくても、更新できるなら更新を
今回のKirkiの脆弱性は、攻撃が成立するためにいくつかの条件があります。
そのため、RCEや任意ファイルアップロードなどの脆弱性と比べれば、今回の対応を少し後に回す判断もあり得ます。ただし、Kirkiは50万以上のサイトで利用されているプラグインであり、修正版の6.3.2もすでに公開されています。
Kirki 6.3.1以下を利用している場合は、バックアップ → 6.3.2へ更新 → テーマ設定・ページ表示を確認という形で、早めに対応しておきましょう。