11 сентября 2026 года Wordfence раскрыла уязвимость Tutor LMS. Если на сайте работает версия до 4.0.7 включительно и включена монетизация, пользователь с правами подписчика может выполнить код на сервере. Исправление доступно в 4.0.8. Владельцам сайтов с курсами стоит обновить плагин до этого или более нового исправленного выпуска.
Проблема получила номер CVE-2026-78175 и оценку 8,8. Для атаки нужна учётная запись с минимальными правами. Открытая регистрация заметно снижает этот барьер: посетитель может сначала создать обычный аккаунт, а затем обратиться к уязвимому обработчику. Включённая монетизация остаётся отдельным необходимым условием.
Ошибка в сохранении реквизитов вывода
Обработчик сохранения реквизитов недостаточно проверял полномочия пользователя. Одновременно особенности экранирования и последующей десериализации сохранённых данных позволяли внедрить PHP-объект. С помощью библиотеки, включённой в сам плагин, цепочка доходила до записи файла и выполнения кода.
Поэтому речь не только о чужих реквизитах или ошибке в профиле ученика. Успешная атака угрожает всему сайту и данным, доступным процессу PHP. Наличие защитного nonce в запросе не заменяло проверку того, разрешено ли этому пользователю менять соответствующие настройки.
Что проверить после обновления
Убедитесь, что обновлён именно плагин со slug tutor. После резервного копирования установите исправленный выпуск и проверьте вход ученика, открытие курса и операции монетизации. Если обновление пока невозможно, временно остановите уязвимый сценарий и согласуйте обслуживание с ответственным за сайт.
При подозрении на уже состоявшийся взлом дополнительно проверьте новые файлы, администраторов и журналы. Обновление закрывает известную ошибку, но само по себе не убирает последствия выполненного чужого кода.
Отдельно разобрал, почему премодерация комментариев не спасает The Events Calendar.
