WORDPRESS SECURITY

Tutor LMSにSubscriberからRCEへ到達可能なPHP Object Injection脆弱性（CVE-2026-78175）

High

WordPressプラグイン「Tutor LMS – eLearning and online course solution」の脆弱性情報（CVE-2026-78175）。影響バージョンは4.0.7以下。修正版 4.0.8 への更新で対処できます。自社サイトが対象か分からない場合の確認方法と、更新代行の相談先も案内します。

更新日：2026年9月14日

対象製品: Tutor LMS – eLearning and online course solution（プラグイン）
CVE: CVE-2026-78175
CVSS / 深刻度: 8.8 / High
影響バージョン: 4.0.7以下
修正版: 4.0.8
脆弱性種別: Subscriber+ PHP Object Injection / Remote Code Execution

脆弱性の概要

Tutor LMS 4.0.7以下には、Subscriber以上のユーザーがwithdrawal設定処理を悪用してPHP Object Injectionを起こし、利用可能なPOP chainを通じて任意ファイル書き込み・RCEへ到達できる脆弱性があります。ユーザー登録が有効なサイトでは未認証者がアカウント作成から攻撃条件を満たせる場合があります。

技術的な内容

tutor_save_withdraw_account AJAX処理がcapability/role checkを欠き、withdraw_method_field由来の入力が保存・再取得される過程でシリアライズ文字列の長さを崩せるため、任意のserialized object streamを注入できます。Tutorに同梱されたGuzzleHttp Cookie FileCookieJarのPOP chainを利用して攻撃者指定ファイルへ内容を書き込めるとされています。monetization機能が有効であることが攻撃条件です。CVSS 8.8 High。現時点で信頼できる実攻撃確認はありません。

悪用状況

実攻撃は未確認

推奨対応

Tutor LMSを4.0.8以上へ直ちに更新してください。更新まで不要ならmonetizationを無効化し、公開ユーザー登録を制限してください。低権限ユーザー、withdrawal設定変更、不審なPHPファイル、admin-ajax.phpおよびPHPログを確認してください。

情報源

情報確認日時：2026年9月13日 00:42

掲載情報は確認時点で公開されているWordPress公式、CVE、セキュリティベンダー等の情報をもとに整理しています。すべての脆弱性や攻撃を網羅・検知することを保証するものではありません。