WordPressでオンライン講座を構築できる「LearnPress」に、未ログインの第三者が不正なPHPオブジェクトを注入できる重大な脆弱性が報告されました。
LearnPressとは？
LearnPressは、講座の作成、動画授業、テスト、受講者管理、決済などに対応した学習管理プラグインです。
オンラインスクール、企業研修、有料講座などに利用でき、WordPress上で講座の公開から販売まで管理できる点がメリットです。
有効インストール数は70,000以上です。
今回の脆弱性と想定リスク
CVE-2026-104736は、購入手続きで使用する入力値が、適切に制限されないままPHPのオブジェクトとして復元される問題です。
ログインしていない第三者が不正なデータを送り込める可能性があり、CVSS 9.8と評価されています。
PHPオブジェクトの不正な復元は、サイト内のコード構成によって深刻な被害につながることがあります。ただし、今回の脆弱性によってあらゆる環境で任意のコード実行が成立すると確認されたわけではありません。
Patchstack
+1
影響バージョンと対策
4.4.10以前が対象で、4.4.11で修正済みです。
開発元の変更履歴にも、2026年10月16日公開の4.4.11でセキュリティ修正が行われたことが記載されています。
利用中の場合は速やかに更新してください。更新後は講座の購入、決済、受講者ログイン、学習進捗、テスト、追加アドオンの動作確認をおすすめします。
WordPress.org
公式情報： WordPress.org — LearnPress 脆弱性情報： Wordfence — CVE-2026-104736