WORDPRESS SECURITY

Tutor LMSに未認証RCE、実悪用を確認（CVE-2026-16759）

High 実攻撃を確認

更新日：2026年9月1日

脆弱性の概要

Tutor LMS 4.0.5以下には、認証されていない外部ユーザーからサーバー上のコード実行につながる脆弱性があります。CVSSは6.5ですが、Patchstackで実悪用確認済みとされており、100,000以上のサイトで利用されているため優先対応対象です。

templateおよびdata POSTパラメータを利用したテンプレート処理からRemote Code Executionへ到達する問題としてCVE-2026-16759が公開されています。WordPress.orgの4.0.6変更履歴でもセキュリティ脆弱性の修正が確認できます。

実攻撃を確認

4.0.6以上へ即時更新してください。実運用では利用可能な最新版まで更新し、影響バージョンを公開していたサイトでは不審なPHPファイル、管理者アカウント、プラグイン変更、アクセスログも確認してください。

情報確認日時：2026年8月28日 00:00

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。