WORDPRESS SECURITY

Tutor LMSでRead-Only APIキーからAdministrator権限へ昇格できる脆弱性（CVE-2026-85569）

High

WordPressプラグイン「Tutor LMS – eLearning and online course solution」の脆弱性情報（CVE-2026-85569）。影響バージョンは2.7.1以上4.0.8未満。修正版 4.0.8 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月17日

対象製品: Tutor LMS – eLearning and online course solution（プラグイン）
CVE: CVE-2026-85569
CVSS / 深刻度: — / High
影響バージョン: 2.7.1以上4.0.8未満
修正版: 4.0.8
脆弱性種別: Read-Only API Key権限昇格 / REST API認可不備 / Administrator権限取得

脆弱性の概要

Tutor LMS 2.7.1以上4.0.8未満には、Administratorが発行したRead-Only APIキーを保持する利用者が、キーに設定された読み取り専用権限を回避し、発行元Administratorとして操作できる権限昇格脆弱性があります。APIキー本来の権限制限を超えて管理者権限で操作できるため、サイト侵害につながる重大な問題です。

技術的な内容

CVE-2026-85569は2026年9月16日に公開されました。Tutor LMSが受信リクエストを自身のREST API宛てか正しく判定できず、API credentialに記録されたpermissionを適切に強制しないことが原因です。悪用にはAdministratorが発行した有効なRead-Only APIキーの保有が前提で、未認証のインターネット攻撃ではありません。確認時点でCNA/NVDによるCVSSは未採点で、CISA KEVや信頼できる実攻撃確認はありません。WordPress.orgでは4.0.8が2026年9月10日に公開されています。

悪用状況

実攻撃は未確認

推奨対応

Tutor LMSを4.0.8以上へ直ちに更新してください。Administratorが発行したRead-Only APIキーを棚卸しし、不要なキーは失効、継続利用するキーもローテーションしてください。REST/APIログを確認し、Read-Onlyキーによる更新系操作、不審なAdministrator・ユーザー変更、プラグイン・テーマ・設定変更がないか監査してください。

情報源

情報確認日時：2026年9月16日 19:02

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。