サイトにポップアップを設置するプラグイン「Popup Builder」において、セキュリティ上の問題が確認されました。影響を受けるのは、バージョン 4.4.5 までのすべてのバージョンです。
悪用されると、ログインしていない第三者に、サイト上のポップアップをまとめてゴミ箱へ移動され、表示を止められるおそれがあります。
対策として、バージョン 4.4.6 以降への更新を推奨します。
脆弱性詳細
本プラグインには、種類（タイプ）が無効になっているなど、表示できなくなったポップアップを自動でゴミ箱へ移動する処理があります。この処理を、ログインしていない第三者が実行できる状態でした。
想定される被害
- ポップアップ（購読フォーム、お知らせ、キャンペーン告知など）がゴミ箱へ移動され、サイトに表示されなくなる
- ゴミ箱の内容はWordPressの初期設定では30日後に自動で完全削除されるため、気付かずにいると、ポップアップと設定が失われる場合がある
- 復元しても、再び同じ操作で移動される可能性がある
なお、ゴミ箱への移動であり、ポップアップの内容が書き換えられることはありません。
被害発生の条件
バージョン 4.4.5 以下であれば、特別な設定は必要ありません。攻撃者のログインや、管理者・利用者の操作も不要で、細工したURLへのアクセスだけで成立します。
技術的な詳細
原因1：権限確認のない自動移動処理
- 本来は管理者がポップアップ一覧を開いたときのための処理が、公開ページを含むすべてのアクセスで実行されていた
- URLに特定のパラメータが付いているだけで移動処理が動き、ログイン状態や権限の確認は行われていなかった
原因2：移動対象が広がる判定の誤り
- ポップアップのプレビュー用パラメータが付いていると、サイト内のすべてのポップアップを「プレビュー用の設定」で読み込もうとしていた
- プレビュー用の設定は、管理画面でプレビューした場合などにだけ作られる
- そのため、プレビューしたことのない通常の公開中ポップアップは、設定が見つからないため表示できないポップアップと判定され、移動対象となっていた
対策版での修正
- 自動でゴミ箱へ移動する処理を廃止
- 表示できないポップアップは管理画面にお知らせとして表示し、管理者が確認してから移動する方式に変更
- プレビュー扱いを、指定されたポップアップ1件だけに限定
脆弱性の種類
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.4.6 以降）へ更新してください。
- 被害確認
- ポップアップの確認：管理画面の Popup Builder のポップアップ一覧で「ゴミ箱」を開き、削除した覚えのないポップアップがないか確認してください。
- 復元：該当するものがあれば「復元」してください。復元したポップアップは「下書き」に戻るため、内容を確認のうえ、改めて「公開」してください。ゴミ箱の内容は30日で自動削除されるため、早めの確認をおすすめします。
- アクセスログの確認（サーバーのログが確認できる場合）：「post_type=popupbuilder」と「sg_popup_preview_id」の両方を含むアクセスがないか検索してください。管理者自身がプレビューした際にも同じ文字列が記録される場合があるため、アクセス元のIPアドレスや日時で見分けてください。
- 追加のセキュリティ対策
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）などで、管理画面以外への上記パラメータ付きのアクセスを遮断できる場合は、更新までの一時的な対策として有効です。ただし、根本的な対策となるプラグインの更新を優先してください。
⇒ ポップアップが復元できない場合や、不審なアクセスが繰り返し確認される場合は、WordPressの専門家への相談を推奨します。
影響を受けるバージョン
Popup Builder 4.4.5 までのバージョン
脆弱性情報 (CVE-ID)
CVE-2026-89270 
（公開日 2026年10月31日 更新日 2026年10月31日）
脆弱性の深刻度 (CVSS v3)
基本値: 9.1 (緊急) [Wordfence]
脆弱性脅威度(EPSS)
CVE-2026-89270 悪用確率 0.39% （上位66%） 2026年11月1日時点
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Popup Builder プラグインをご利用中のお客様には、対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
