WORDPRESS SECURITY

Masteriyo LMSにSubscriberから任意コード実行、未認証でも任意ファイル書き込み可能な脆弱性（CVE-2026-82845）

High

WordPressプラグイン「Masteriyo LMS – LMS Course Builder, Quizzes & Certificates」の脆弱性情報（CVE-2026-82845）。影響バージョンは3.4.1未満。修正版 3.4.1 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月24日

対象製品: Masteriyo LMS – LMS Course Builder, Quizzes & Certificates（プラグイン）
CVE: CVE-2026-82845
CVSS / 深刻度: 7.3 / High
影響バージョン: 3.4.1未満
修正版: 3.4.1
脆弱性種別: Subscriber+ PHP Object Injection / Remote Code Execution / 未認証の任意ファイル書き込み

脆弱性の概要

Masteriyo LMS 3.4.1未満には、低権限ユーザーが保存メタデータ経由でPHP Object Injectionを起こし、同梱ライブラリのガジェットチェーンを利用して任意コード実行へ到達できる脆弱性があります。より限定的な経路では未認証でも任意ファイル書き込みが可能と報告されています。

技術的な内容

ユーザー入力を含む保存メタデータのデシリアライズ時にPHPオブジェクトを生成できることが原因です。WPScanはSubscriber相当のアカウントから同梱ガジェットを利用したファイル書き込み・コード実行を確認し、未認証経路でも任意ファイル書き込みが可能としています。WordPress.orgの3.4.1変更履歴でもstored metadataがPHP objectsをinstantiateできる問題の修正が明記されています。CNA/NVDでは現時点でCVSS未採点、VulDB二次評価は7.3 Highで、KEV掲載や信頼できる実攻撃確認はありません。以前お知らせしたCVE-2026-62107と同じ3.4.1セキュリティリリースで修正されますが、別CVEとして具体的なRCE・任意ファイル書き込み経路が公開されています。

悪用状況

実攻撃は未確認

推奨対応

Masteriyo LMSを3.4.1以上へ直ちに更新してください。更新までプラグイン停止または公開機能の制限を検討し、低権限ユーザー、不審なシリアライズデータやメタデータ、最近追加・変更されたPHP等の実行可能ファイル、Webサーバー・PHPログを確認してください。

情報源

情報確認日時：2026年9月14日 06:57

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。