WordPressプラグイン「Kirki」に権限昇格の脆弱性（CVE-2026-75891）

CVSS 8.8 HIGH

何が起きるか

Kirki 6.2.5以前では、購読者などの低い権限でログインできる利用者が、管理者のパスワードを書き換えられる恐れがあります。その結果、サイト全体を乗っ取られる可能性があります。

想定される被害と条件

• 管理者のパスワードを書き換えられ、管理者アカウントを乗っ取られる恐れがあります
• 乗っ取られた後は、ページの改ざん、不正なユーザーの追加、不正なプログラムの設置などが行われる可能性があります
• 会員登録機能などで、誰でも購読者以上のアカウントを作れるサイトは特に危険です
• 被害が起きるのは、Kirki 6.2.5以前が有効になっている場合です

今日やること

Kirkiを6.3.0以上に更新し、すぐ更新できない場合はプラグインの停止・削除を検討してください。

すぐに更新できない場合

更新できるまでKirkiを停止し、「設定」→「一般」の「だれでもユーザー登録ができるようにする」をオフにしてください。WAFを導入している場合は、ベンダーの防御ルールを有効にしてください。

更新後に確認すること

• 管理者としてログインできるか確認し、念のため全管理者のパスワードを変更してください
• 「ユーザー」一覧で、見覚えのない管理者や、権限が変わったユーザーがいないか確認してください
• 「プラグイン」「外観→テーマ」に見覚えのない追加や変更がないか、投稿・固定ページに改ざんがないか確認してください
• 不審な点があれば、保守担当者にサーバー上のファイル変更履歴やアクセスログの調査を依頼してください

不審な投稿・ユーザー・ファイルが見つかった場合は、専門家への相談をおすすめします。

Kirki の現在の情報 （WordPress.org、2026-11-02 取得）

技術的な詳細（修正差分の解析）

修正前後のコード（6.2.5 → 6.3.0）を WordPress.org から取得して差分を解析しました。特定の確度: 中。攻撃に使える手順は記載していません。

原因となった処理

• AJAXディスパッチャ kirki_post_apis()（wp_ajax_kirki_post_apis フック）は、POST パラメータ endpoint の値に応じて各処理へ振り分けます。6.2.5 では、このうち 'get-single-symbol' 分岐が、編集権限を確認する HelperFunctions::user_has_post_edit_access() のゲートの手前、またはその外側から到達できたとみられます。
• WordPress の wp_ajax_* フックはログイン済みユーザー全員に対して発火します。そのため、権限チェック（current_user_can 相当）がないと、購読者（Subscriber）でもシンボル取得処理 Symbol::get_single_symbol() を呼び出せます。
• Symbol::get_single_symbol() とその周辺処理は、リクエスト由来のシンボル要素データ（contentElement などの要素グラフのノード）を取り込みます。その過程で、信頼できない値が PHP のデシリアライズ処理に渡り、任意クラスのオブジェクトが生成される（PHP オブジェクトインジェクション）余地がありました。
• プラグインまたは環境内に、生成されたオブジェクトのマジックメソッドを起点に連鎖的な処理を起こせるクラス群（POP チェーン）が存在します。これにより、管理者パスワードの上書きのような重大な副作用につながり、権限昇格に至ります。
• まとめると、原因は『編集者向けの機能に対する権限チェックの欠如』と『外部入力をデシリアライズしてしまう設計』の組み合わせです。

被害が起きる前提条件

• Kirki プラグイン 6.2.5 以前が有効化されていること。
• 攻撃者が購読者（Subscriber）以上の権限で、ログイン可能なアカウントを持っていること。ユーザー登録を一般公開しているサイトでは特にリスクが高くなります。
• AJAX エンドポイント admin-ajax.php（kirki_post_apis アクション）に外部から到達できること。通常の WordPress 構成では到達可能です。
• オブジェクトインジェクションを悪用できる POP チェーンとなるクラスが、読み込み可能な状態にあること。説明によればプラグイン内に存在します。

修正版での変更

• 6.3.0 の kirki_post_apis() では、'get-single-symbol' を全面編集権限またはコンテンツ編集権限のゲート（user_has_post_edit_access()）の内側でのみ処理するよう整理されました。新設されたプレビュートークン用の読み取り専用分岐からも、この処理は明示的に除外されています。
• プレビュートークンで許可するエンドポイントを、get-collection-batch と get-dynamic-content-batch の 2 つだけに限定しました。それ以外の要求は 'Not authorized' で拒否するホワイトリスト方式になっています。
• 同じリリースで、関連する権限不備も強化されています。具体的には、Apps の追加・削除、コメントの一括解決（resolve_all）、コメントの解決・削除の認可に FULL_ACCESS の確認や所有者チェックが追加されました。あわせて、リモート ZIP 取得時の SSRF 対策、SVG のサニタイズ結果の保存などの多層防御も入っています。
• サイト運営者向けの推奨: 速やかに 6.3.0 以降へ更新してください。あわせて、不要なユーザー登録の停止、管理者アカウントとパスワード変更履歴の確認、不審な購読者アカウントの棚卸しを行ってください。

主な修正ファイル: includes/Ajax.php, includes/Ajax/Symbol.php, includes/Ajax/Apps.php, app/Services/CollaborationCommentService.php, app/Supports/FileHandler.php

原文（Wordfence Intelligence）