【2026年10月】Kirkiにユーザー情報漏えいの脆弱性｜50万以上のWordPressサイトで利用されるプラグイン

WordPressのサイトデザインやカスタマイズを支援するプラグイン「Kirki」に、ユーザー情報が外部から取得される可能性のある脆弱性が報告されました。

2026年10月17日に公開されたCVE-2026-107762は、CVSS 7.5と評価されています。

Kirkiは、WordPressのテーマカスタマイズを拡張するフレームワークとして知られるプラグインです。

現在はビジュアルページビルダー機能も備えており、ドラッグ＆ドロップによるページ制作、レスポンシブデザイン、フォーム、動的コンテンツなどに対応しています。

テーマ開発者がカスタマイズ項目を追加したり、Web制作者がデザインを効率的に調整したりする用途で利用されています。

WordPress.org公式によると、有効インストール数は50万以上です（2026年10月18日確認）。

WordPress.org

今回の問題は、IDOR（不適切なオブジェクト参照）と呼ばれるアクセス制御の不備です。

本来、閲覧を許可されていないユーザー情報であっても、特定のパラメーターを操作することで取得できる可能性があります。

ただし、攻撃には、Kirkiのテンプレートでユーザー型の動的コンテンツを使用した公開ページが必要です。

そのため、Kirkiを導入しているだけですべてのサイトが同じ影響を受けるわけではありません。

ユーザーのメールアドレスやプロフィール情報などが第三者に取得される可能性があります。

特に、会員情報を独自のカスタムフィールドで管理している場合、保存内容によっては漏えいの影響が大きくなるおそれがあります。

なお、今回の脆弱性によってパスワードが直接取得できることや、管理者権限が奪われることまでは確認されていません。

対象はKirki 6.3.2以前で、6.4.0で修正されています。

利用している場合は、次の点を確認してください。

Kirkiはテーマ側から利用されることもあるため、更新前にはバックアップを取得し、表示崩れや機能停止が発生しないか確認することをおすすめします。

今回の脆弱性は、特定のページ構成でユーザー情報が漏えいする可能性があるものです。

実際の被害は確認できていませんが、会員情報やプロフィール情報を扱うサイトでは、優先してバージョンと設定を確認しましょう。

公式・一次情報