Tutor LMS: PHP Object Injection porta a RCE, oltre 100.000 siti a rischio

Wordfence Argus ha scoperto una vulnerabilità di tipo PHP Object Injection nel plugin Tutor LMS per WordPress, usato per creare corsi online e aree di e-learning sui siti WordPress. Il bug, segnalato da Wordfence il 17 settembre 2026, espone più di 100.000 installazioni attive e permette, secondo l'avviso del fornitore, l'esecuzione di codice remoto a partire da un account con il semplice ruolo di subscriber.

Per chi gestisce hosting condiviso o VPS con molti siti WordPress dei clienti, il dato da tenere a mente è questo: non serve un account amministratore per sfruttare la falla. Basta un utente registrato con il privilegio minimo, quello che qualunque sito con iscrizioni aperte concede di default. Da lì, tramite l'object injection, un attaccante può arrivare a eseguire codice sul server che ospita il sito.

Cosa fare

Wordfence raccomanda di aggiornare Tutor LMS alla versione 4.0.8 il prima possibile. L'aggiornamento è disponibile dal repository dei plugin di WordPress.org e dal pannello di amministrazione dei siti interessati.

Per chi amministra più installazioni WordPress per conto terzi, la checklist pratica è:

• verificare quali siti della propria infrastruttura hanno Tutor LMS attivo (anche come dipendenza di un tema o di un altro plugin);
• controllare la versione installata da Plugin > Plugin installati, oppure da riga di comando con wp plugin list --name=tutor se si usa WP-CLI;
• forzare l'aggiornamento a 4.0.8 sui siti rimasti indietro, anche quelli con aggiornamenti automatici disattivati per policy interna;
• per chi gestisce WAF a livello di pannello o di CDN, verificare se il fornitore della propria soluzione di sicurezza ha già rilasciato una regola specifica per questo CVE, in attesa che tutti i siti siano aggiornati.

La object injection resta una delle classi di vulnerabilità più insidiose nei plugin WordPress perché spesso non richiede privilegi elevati per essere innescata, solo un punto di ingresso che deserializza dati non fidati. Per i provider che ospitano siti con iscrizioni pubbliche aperte, come corsi online o community, il livello di esposizione è più alto della media.

Il bollettino completo, con i dettagli tecnici della vulnerabilità, è pubblicato sul blog di Wordfence.