Tutor LMSに未認証の任意PHP関数呼び出し脆弱性（CVE-2026-19092）

WordPressプラグイン「Tutor LMS」の脆弱性情報（CVE-2026-19092）。影響バージョンは4.0.6未満（2.1.3〜4.0.5）。修正版 4.0.6 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

対象製品

Tutor LMS（プラグイン）

CVE

CVE-2026-19092

CVSS / 深刻度

9.8 / Critical

影響バージョン

4.0.6未満（2.1.3〜4.0.5）

修正版

4.0.6

脆弱性種別

未認証の任意ゼロ引数PHP関数呼び出し / テンプレート変数シャドーイング

脆弱性の概要

Tutor LMS 4.0.6未満には、認証されていない外部ユーザーが既存のゼロ引数PHP関数を呼び出せるCritical脆弱性があります。任意コードそのものを注入するRCEではありませんが、到達可能な関数によって全ユーザーセッションの破棄、WordPressコアオプションの削除、データベーステーブルの削除などにつながるため、機密性・完全性・可用性への影響が大きい問題です。

技術的な内容

テンプレート描画時にリクエストデータが内部変数を上書きできることが原因で、攻撃者が既存のcallable名を指定してゼロ引数関数を実行できます。WPScanはCVSS 9.8 Criticalとして検証済みです。任意の引数は渡せず、新規PHPコードを直接実行する脆弱性ではありません。WordPress.orgの4.0.6変更履歴でもcourse list query parameterに関するセキュリティ修正が確認できます。

悪用状況

実攻撃は未確認

推奨対応

Tutor LMSを4.0.6以上、可能であれば最新版へ更新してください。影響バージョンを公開していた場合は、WordPressオプションの欠損、予期しないログアウト、データベーステーブルの欠損・異常、関連するアクセスログを確認してください。

情報源

• WordPress.org（公式変更履歴）
• CVE.org（CVEレコード）
• WPScan（技術解析・CVSS）

情報確認日時：2026年9月2日 00:35

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。