何が起きたか
多くのテーマで使われているプラグイン「Kirki」（50 万サイト以上）に、パスワード再設定のリンクを攻撃者のメールアドレスに送らせて、管理者を含む任意のアカウントを乗っ取れる脆弱性がありました（CVE-2026-8206、CVSS 9.8）。
7 月以降も、SQL インジェクションなどの修正が続いています。
対象と修正版
- 対象: 6.0.0〜6.0.6
- 修正版: 6.0.7（現在は 6.0.13 まで修正が出ています）
確認すること
- Kirki を最新版に更新する（テーマに組み込まれている場合は、テーマの更新も確認する）
出典
ご自身での確認が難しい場合
公開されている情報の範囲で状況を確認し、ご確認いただきたい点を 1 枚にまとめて無料でお送りします。