はじめに：エラーが出ないまま、案内だけが消えるかもしれません
クーポンのお知らせやメール配信の登録の案内を、サイトの小窓（ポップアップ）で出しているお店や教室は多いと思います。もし「そういえば最近、自分のサイトであの小窓を見ていない」と感じたら、今日は少しだけ管理画面をのぞいてみてください。
小窓を作るプラグイン Popup Builder の 4.4.5 以前 に弱点があると、米国の脆弱性データベースで2026年10月31日に公表されました。深刻度は10段階で 9.1、利用数は20万以上です。ログインしていない第三者の操作で、公開中のポップアップをゴミ箱に移せてしまう、という内容です。
サイトが真っ白になるような弱点ではありません。だからこそ、起きても気づきにくいのが困るところです。画面にエラーは出ず、案内だけが静かに消えます。
開発元は 4.4.6 で修正 しており、これが今の最新です。悪用が確認されたという情報は、11月2日の時点では見つかっていません。ただ、公表からまだ日が浅いので、「被害がない」と言い切れるものでもありません。
※2026年11月2日時点で公表されている情報をもとにしています。
慌てる前に、私が順番を決める理由
脆弱性のニュースを見たお客さんから、「うちも急いだほうがいいのでは」と相談を受けることがあります。整体院のサイトのときは、まずサーバー会社の対応を確かめて、すぐに慌てて触る必要はないと判断しました。そのうえで事前の検証をしてから、PHP、WordPress 本体の順に上げました。
私は2016年からサイトの保守をしていて、旅行会社や整体院のサイトなど、500件以上の PHP 更新やトラブル対応をしてきました。その中で感じるのは、ニュースの大きさと、自分のサイトでやることの量は別ということです。今回は次の3つを順に見れば、やることが決まります。
手順1：入っているかと、版の数字を見る
管理画面の「プラグイン」を開き、検索欄に Popup と入れます。
何も出なければ、今回の件は当てはまりません。別の名前のポップアップ用プラグインは、今回の公表の対象ではありません
Popup Builder が出たら、版の数字を見ます。4.4.5 以前 なら対象、4.4.6 なら修正済みです
「停止中」でも、使わないなら削除、残すなら更新のどちらかにしておきます
制作会社に付けてもらったサイトだと、プラグインの名前を知らないこともあります。一覧で確かめれば、それだけで済みます。
なお、対象として公表されているのは無料の本体です。有料の拡張が対象かどうかは、公表には書かれていません。
手順2：ポップアップが残っているかを見る
管理画面の Popup Builder のメニューから、ポップアップの一覧を開きます。一覧の上に「すべて」「公開済み」「ゴミ箱」のような分類があります。
公開中のはずのものが「ゴミ箱」にあった場合は、消した覚えがあるかを思い出します
覚えがなければ、更新を先に済ませてから戻します。戻したあとにまた移されないようにするためです
WordPress の標準の動きでは、ゴミ箱の中身は30日で消えていきます。「いつか戻そう」と放っておかないようにしてください。
もうひとつ、サイトを開いて本当に小窓が出るかも見ます。一度閉じると出ない設定のこともあるので、ふだん使っていないブラウザや、シークレットモード（履歴を残さない画面）で開くと確かめやすくなります。
手順3：4.4.6 へ上げて、購読者の一覧を見る
更新の前に、サーバー会社の管理画面などで ファイルとデータベースのバックアップ を取ります。そのあと、プラグインの一覧から Popup Builder を更新します。
更新が終わったら、次の順で動きを確かめます。
1. トップページなど、小窓を出しているページを開く
2. 購読フォームがあれば、自分のアドレスで試しに登録する
3. 登録したアドレスが、購読者の一覧に入ったかを見る
4.4.6 では、購読フォームの姓・名の欄に関する別の弱点（保存型 XSS。欄に書かれた文字が、悪いプログラムとして動いてしまうもの）も直されています。購読者の一覧を見るのが更新のあとなのは、この修正で一覧の表示も安全な形に整えられたためです。
一覧を見て、名前の欄に記号やプログラムのような文字が並ぶ行があれば、その行の画面を残しておきます。メール配信の名簿を整えるお手伝いをしたときも、記号が混ざったり @ が抜けたりしたアドレスが見つかり、1件ずつ直しました。ふつうの入力ミスのこともあるので、見つけてもすぐに慌てず、まず記録です。
困ったとき：更新できない、表示がおかしいとき
更新のあとで表示が崩れたり、管理画面に入れなくなったりしたら、何度も操作せず、取っておいたバックアップに戻します。
更新の案内が出ないときは、制作会社が独自に手を入れていたり、更新を止める設定が入っていたりする場合があります。すぐに更新できない間は、Popup Builder を一度停止するという選択もあります。ただし、小窓は止まります。案内が止まって困るページがないかを先に確かめて、期間の案内などは本文にも書いておくと安心です。
まとめ
Popup Builder の 4.4.5 以前 に深刻度9.1の弱点が公表され、4.4.6 で修正 済み
起きてもエラーは出ないので、ゴミ箱と実際の表示の両方を見る
ゴミ箱から戻すのは更新のあと。ゴミ箱の中身は30日を目安に消えていく
購読者の一覧も、更新のあとに見る
ひとつずつ見ていけば、やることは多くありません。版の確認や更新の進め方に不安がある方は、下のおすすめのサービスも参考にしてください。
出典・参考
NVD（米国の脆弱性データベース）CVE-2026-89270: https://nvd.nist.gov/vuln/detail/CVE-2026-89270
WordPress.org「Popup Builder」のページ（更新履歴）: https://wordpress.org/plugins/popup-builder/
