---
title: "WordPress プラグイン Popup Builder 4.4.5 以前で、認証なしで公開済みポップアップを一括ゴミ箱へ移せる脆弱性（CVE-2026-89270）: 4.4.6 に更新を"
url: https://n-t-p.io/worldsecurity/articles/popup-builder-wordpress-plugin-unauthenticated-trash-all-popups-before-4-4-6-cve-2026-89270
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年10月31日
updated: 2026年10月31日
severity: 高
cve: CVE-2026-89270
---

# WordPress プラグイン Popup Builder 4.4.5 以前で、認証なしで公開済みポップアップを一括ゴミ箱へ移せる脆弱性（CVE-2026-89270）: 4.4.6 に更新を

> **TL;DR:** WordPress 用プラグイン Popup Builder 4.4.5 以前に、認証なしの GET リクエスト 1 回で、公開済みポップアップをすべてゴミ箱へ移せる脆弱性（CVE-2026-89270）。権限確認の欠如（CWE-862）に、プレビュー用パラメータによる全件への波及が重なる。CVSS v3.1 は 9.1（Wordfence が付与、NVD 自身の評価は未実施）。EPSS 0.39%、KEV なし、悪用の報告なし。4.4.6 で修正と見られる（推定）。

**要点**
- Popup Builder 4.4.5 以前：権限確認の欠如により、認証なしの GET 1 回で公開済みポップアップを全件ゴミ箱へ移せると説明されている。再現は当サイトでは未実施
- CVSS v3.1 は 9.1（Wordfence が付与、AV:N/AC:L/PR:N/UI:N、C:N/I:H/A:H）。NVD の状態は Received で、NVD 自身の評価は未実施。EPSS 0.39%、KEV なし、悪用の報告なし
- 配布元の 4.4.6（10/19）の changelog に、認証なしでポップアップをゴミ箱へ移せる問題の修正がある。本件との対応は推定
- 4.4.6 以降へ更新。ゴミ箱の中身の確認・復元も検討
- 修正の中身、影響版の下限、悪用の有無は未確認

WordPress 用プラグイン「Popup Builder – Create highly converting, mobile friendly marketing popups.」（配布名 `popup-builder`）の 4.4.5 以前に、認証なしで、サイト上の公開済みポップアップをすべてゴミ箱へ移せる脆弱性（CVE-2026-89270）が公表され、10/31 に NVD へ登録されました。CVSS v3.1 は 9.1（Critical）で、この値を付けたのは CNA の Wordfence です（NVD 自身の評価は未実施で、状態は「Received」）。**配布元の changelog に、10/19 公開の 4.4.6 で「認証なしのリクエストで公開済みポップアップをゴミ箱へ移せる問題を修正」とあります。** 内容が本件と一致する可能性が高いものの、CVE 番号の明記はないため、対応は推定です。

## 何が起きるか

- CNA の説明によると、プラグインが操作の実行者の権限を適切に確認していません（認可の欠如、CWE-862）。このため、認証なしの GET リクエスト 1 回で、公開済みポップアップをゴミ箱へ移せます。
- 2 つ目の欠陥が影響を広げています。パラメータ `sg_popup_preview_id` が付いていると `SGPopup::find()` が、通常どおり公開されているポップアップすべてについて false を返し、ゴミ箱へ移す分岐がサイト上の全ポップアップに対して同時に動きます。
- 影響はコンテンツの完全性と可用性（ポップアップの表示停止）です。CVSS 上、機密性への影響は None、コード実行は記載されていません。
- 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV にも載っていません（確認時点の版）。

## 影響を受ける条件と評価

| 項目 | 内容 |
|---|---|
| 対象 | Popup Builder プラグイン 4.4.5 以前（CNA の記載は「4.4.5 までのすべての版」）。下限の版は記載なし |
| 前提 | プラグインが有効で、サイトのフロントエンドに外部から到達できること |
| CVSS | v3.1 は 9.1（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H）。付与したのは Wordfence（CNA、NVD の種別は Primary 表示）。NVD 自身の評価は未実施 |
| 状態 | NVD の状態は「Received」（10/31 登録）。NVD の影響版の構成情報は未登録 |
| 弱点の分類 | CWE-862（認可の欠如） |
| EPSS | 0.39%（パーセンタイル 33.6%、10/31 時点、FIRST） |
| 修正 | 4.4.6（10/19 公開）。changelog の「認証なしのリクエストで公開済みポップアップをゴミ箱へ移せる問題を修正」が該当すると見られる（推定） |

## 修正の状況

- WordPress.org のプラグイン情報では、確認時点の最新版は 4.4.6（最終更新 10/19）です。changelog の 4.4.6 の項には、このほか、購読フォームの姓・名欄を経由した保存型 XSS の修正、プレビューモードが他のポップアップに影響しないようにする修正も含まれます。
- CNA の参照先には、修正のコード変更（changeset 3755160、`SGPopup.php`）が含まれます。差分の内容は、当サイトでは確認できていません。

## 対応として考えられること（本記事の推定）

1. WordPress の管理画面で、Popup Builder の版を確認します。4.4.5 以前なら、4.4.6 以降へ更新します。
2. 更新前に、サイトのバックアップを取ります。すでにポップアップが消えている・表示されない場合は、管理画面のゴミ箱を確認し、意図せず移されたものがあれば復元を検討します。
3. 更新できない間は、プラグインの無効化を検討します（この対処の効果は当サイトでは検証していません）。アクセスログに、`sg_popup_preview_id` を含む不審な GET リクエストがないかを確認するという点検も考えられます（ログの形式は構成によります）。

## 未確認の点

- 悪用の報告は確認できていません。KEV にも載っていません。
- 4.4.6 の変更が本件を指すこと、修正の中身、影響版の下限は確認できていません。
- 本記事の severity 欄は、CVSS 9.1 を踏まえつつ、影響がポップアップのゴミ箱移動（復元可能と見られる）にとどまりコード実行・情報漏えいは記載されていないため high にしました。CVSS 9.1 は CNA の値で、NVD 自身の評価は未実施です。
- 当サイトでは、挙動を再現していません。ソースコードの確認も行っておらず、記載は CNA の説明と配布元の changelog に基づきます。
- 日付は、NVD の登録（2026-10-31 07:16 UTC）と配布元の changelog の日付に基づきます。


## 出典
- [NVD CVE-2026-89270](https://nvd.nist.gov/vuln/detail/CVE-2026-89270) — NIST NVD
- [Wordfence Threat Intelligence（CVE-2026-89270）](https://www.wordfence.com/threat-intel/vulnerabilities/id/13af3a6e-d3ef-41f0-9424-fe2c9b17c8bb?source=cve) — Wordfence
- [WordPress.org プラグイン Popup Builder（changelog）](https://wordpress.org/plugins/popup-builder/#developers) — WordPress.org
- [FIRST EPSS CVE-2026-89270](https://api.first.org/data/v1/epss?cve=CVE-2026-89270) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/popup-builder-wordpress-plugin-unauthenticated-trash-all-popups-before-4-4-6-cve-2026-89270