オンライン講座（eラーニング）を作成・運営するためのプラグイン「Tutor LMS – eLearning and online course solution」において、2件のセキュリティ上の問題が確認されました。影響を受けるバージョンと対策バージョンは、問題ごとに異なります。
これらの脆弱性を悪用された場合、サイト内の既存機能を不正に呼び出されたり、サーバー上でプログラムを実行されたりする可能性があります。
対策として、両方の修正を含むバージョン 4.0.8 以降への更新を推奨します。
脆弱性詳細
1件目：未認証での関数呼び出し（CVE-2026-19092／4.0.5以前）
講座・レッスン・小テストなどの単一ページを表示する処理において、外部から送信されたデータが、本来プラグイン内部で固定的に使うはずの変数を上書きできる状態にありました。これにより、認証されていない第三者が、サイト内にあらかじめ存在する機能を呼び出せる状況となっていました。
2件目：出金情報を悪用したオブジェクトインジェクション（CVE-2026-78175／4.0.7以前）
講師向けの出金（振込先）情報を保存する処理において、操作する利用者の権限確認が不足していました。その結果、細工したデータを保存させ、後の読み出し時に不正なプログラム部品を紛れ込ませることが可能な状態にありました。
想定される被害
この脆弱性が悪用された場合、以下のような被害が想定されます。
- 1件目（CVE-2026-19092）
全利用者が突然ログアウトさせられる、サイトの設定値が失われる、データベースの情報が失われる、といった影響が生じる可能性があります。 - 2件目（CVE-2026-78175）
サーバー上に意図しないファイルが作成され、そこからプログラムが実行される可能性があります。
被害発生の条件
- 1件目：攻撃者がサイトにアクセス可能な状態であれば、利用者の操作に関わらず攻撃が可能です（ログインしていない状態でも悪用される恐れがあります）。
- 2件目：サイトに登録済みの低権限ユーザー（購読者レベル）以上であり、かつ収益化（マネタイズ）機能が有効であること。ユーザー登録を開放しているサイトでは、攻撃者が自ら登録することで、実質的に認証なしで到達し得ます。
技術的な詳細
1件目：内部変数の上書きによる関数呼び出し（CVE-2026-19092）
- ページ表示処理で送信データを内部変数に展開する際の扱いが安全でなく、「呼び出す機能の対応表」に相当する内部変数を、外部から差し替えられる状態でした。
- 呼び出せるのは、サイト内に既に存在する機能を引数（パラメータ）なしで実行するものに限られ、任意のプログラムコードを送り込んで実行させるものではありません。
- ただし、呼び出せる機能には、全利用者のログイン状態の破棄、サイト設定値の削除、データベース情報の削除につながり得るものが含まれます。
- 対策版では、内部変数を外部データで上書きできない実装に改められ、呼び出し先も固定の分岐に限定されました。
2件目：保存データを悪用したオブジェクトインジェクション（CVE-2026-78175）
- 出金情報の保存処理では、リクエストの正当性を確認する仕組み（nonce：ワンタイムの確認コード）のみに頼り、利用者の権限（役割）を確認していませんでした。
- 保存する項目のうち、値の一部にだけ変換処理が行われ、項目名（キー）側は無害化されないまま保存データに使われていました。この変換処理と保存形式（データを文字列化して保管する処理）の組み合わせにより、保存データの長さの整合性が崩れる状態が生じます。
- そのデータを後から読み出す際に、この長さのずれを通じて、攻撃者が用意した「PHPオブジェクト」を紛れ込ませることが可能でした（オブジェクトインジェクション：本来データであるべき箇所にプログラム部品を注入する攻撃）。
- 注入された部品は、プラグインに同梱された別の部品を経由して、攻撃者が指定したファイルに攻撃者の用意した内容を書き込む動作につながり得ます。ここからサーバー上でのプログラム実行に発展する可能性があります。
- 対策版では、権限（講師であること）の確認、保存項目を定義済みのものだけに限定する処理、値の無害化方法の見直し、読み出し時にプログラム部品を復元させない処理、部品の読み込み範囲の限定が実装されました。
脆弱性の種類
CVE-2026-19092：CWE-94 コード・インジェクション 
（テンプレート変数の上書きによる関数呼び出し）
CVE-2026-78175：CWE-502 信頼できないデータのデシリアライズ
（PHPオブジェクトインジェクション）
推奨対応事項
該当バージョンのプラグインをご利用の場合、以下の対応を強く推奨します。
- プラグインの更新
- 速やかに、プラグインを対策バージョン（4.0.8 以降）へ更新してください。両方の脆弱性が解消されます。
- 被害確認
- 1件目：全利用者が一斉にログアウトした、管理画面の設定が初期化・消失した、通常表示されるはずの情報が欠落した、といった事象がなかったかご確認ください。
- 2件目：収益化機能をご利用の場合、身に覚えのない出金先情報を持つ低権限ユーザーがいないか、サイトのファイル内に見覚えのないファイルが作成されていないかをご確認ください。
- サーバーのアクセスログを確認できる場合は、
admin-ajax.phpへのリクエストのうちtutor_save_withdraw_account（出金情報の保存処理）を含む不審なものがないかが、2件目のログ調査の手がかりになります。
- セキュリティ対策の強化
- WAF（Web Application Firewall：不正な通信を検知・遮断する仕組み）を導入していれば、これらを狙う不正なリクエストの遮断に有効な場合があります。ただし、WAFですべての攻撃を確実に防げるわけではないため、根本的な対策となるプラグインの更新を優先してください。
⇒ 不審なファイルやアカウント、意図しない設定変更が確認された場合は、WordPressの専門家などへの相談を推奨します。
影響を受けるバージョン
- CVE-2026-19092：Tutor LMS 4.0.5 までのバージョン（4.0.6 で修正）
- CVE-2026-78175：Tutor LMS 4.0.7 までのバージョン（4.0.8 で修正）
脆弱性情報 (CVE-ID)
CVE-2026-19092
（公開日 2026年8月27日 更新日 2026年8月28日）
CVE-2026-78175
（公開日 2026年9月12日 更新日 2026年9月15日）
脆弱性の深刻度 (CVSS v3)
CVE-2026-19092 基本値: 9.8 (緊急) [Wordfence]
※ 呼び出せるのは、サイト内に既に存在する機能を引数なしで実行するものに限られます。
CVE-2026-78175 基本値: 8.8 (重要) [Wordfence]
※ 収益化（マネタイズ）機能が有効な場合に関係します。
脆弱性脅威度(EPSS)
CVE-2026-19092
CVE-2026-19092 悪用確率 2.00% （上位20%） 2026年10月7日時点
CVE-2026-78175
CVE-2026-78175 悪用確率 1.07% （上位36%） 2026年10月7日時点
参考
Tutor LMS <= 4.0.5 – Unauthenticated Arbitrary Zero-Argument Function Invocation
Tutor LMS <= 4.0.7 – Authenticated (Subscriber+) PHP Object Injection to Remote Code Execution
ソフトウェア脆弱性情報の著作権に関する注意事項
This record contains material that is subject to copyright.
Copyright 2012-2026 Defiant Inc.
License: Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant’s copyright designation and this license in any such copy. Read more.
Copyright 1999-2026 The MITRE Corporation
License: CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE’s copyright designation and this license in any such copy. Read more.
「WordPressセキュリティ保守」をご利用のお客様へ
WordPress
Tutor LMS プラグインをご利用中のお客様には、
対策バージョンへの更新状況および推奨対応事項について、順次メールにてご案内しております。
本記事の作成について
本記事は、対象プラグインの公開ソースコードおよびバージョン間の差分を解析し、その結果に基づいて作成しています。
解析および文章作成の過程では生成AIを利用し、内容は当社の担当者が確認したうえで公開しています。
