CVE-2026-104736／CVSS 9.8
LearnPressは、WordPressでオンライン講座や教材販売サイトを構築できるLMSプラグインです。
講座、レッスン、受講者、決済などを管理できます。
今回の脆弱性は、講座購入時のメールアドレスを処理する仕組みにあります。
外部から送られたデータが適切に制限されず、PHPオブジェクトとして復元される可能性があります。
未認証で攻撃可能ですが、実際に任意コード実行などへ発展するには、利用可能なオブジェクトや追加の攻撃経路が関係します。Wordfence
修正版は4.4.11、現在の最新版は4.4.12です。
公式情報： Wordfence脆弱性情報 ／ Patchstack脆弱性情報 ／ WordPress.org公式ページ
TM WebWorksブログ記事案
【2026年10月】LearnPressにCVSS 9.8の重大な脆弱性｜オンライン講座サイトの管理者は確認を
WordPressのオンライン講座管理プラグイン「LearnPress」に、PHPオブジェクトインジェクションの脆弱性が報告されました。
LearnPressは、オンライン講座の作成、教材販売、受講者管理などをWordPress上で行えるプラグインです。
今回の問題は、講座購入時に受け取るメールアドレスなどのデータ処理にあります。
攻撃者が細工したデータを送信することで、PHPオブジェクトが不正に生成される可能性があります。
影響するのは4.4.10以前で、4.4.11で修正されています。
利用中のサイトでは、最新版への更新とともに、購入処理、受講者登録、決済連携などが正常に動作するか確認してください。
Patchstackは悪用確認済みと分類していますが、実際の侵害件数は不明です。