Se ha detectado una vulnerabilidad de alta severidad (CVE-2026-78175) en el plugin Tutor LMS de WordPress, que afecta a más de 100,000 sitios web. Este fallo, con una puntuación de 8.8 sobre 10, podría permitir que un usuario con bajos privilegios tome el control total del servidor afectado, especialmente en instalaciones donde los visitantes pueden registrarse como estudiantes.

Un fallo de severidad alta en el plugin de WordPress Tutor LMS podría permitir que un usuario con pocos privilegios tome el control de un servidor afectado. El problema afecta a más de 100,000 sitios que utilizan este plugin de e-learning, particularmente a aquellas instalaciones que permiten que los visitantes se registren como estudiantes.

Rastreada como CVE-2026-78175, la vulnerabilidad tiene una calificación de 8.8 sobre 10 y afecta a las versiones 4.0.7 y anteriores de Tutor LMS. Un atacante necesita una cuenta de nivel suscriptor, pero en sitios con registro abierto, crear esa cuenta puede ser tan sencillo como completar un formulario de inscripción para estudiantes.

Los investigadores señalaron que el error puede conducir a la ejecución remota de código, lo que significa que un atacante podría ejecutar comandos en el servidor web.

Wordfence afirmó en un informe que su agente de investigación Argus identificó el problema el 23 de agosto de 2026, y los hallazgos fueron validados el mismo día.

El riesgo es significativo porque los sitios de aprendizaje a menudo aceptan registros de estudiantes, instructores y clientes. Un ataque exitoso podría permitir que un intruso coloque un archivo malicioso en el servidor, robe datos, altere el contenido del sitio o utilice el sitio web comprometido como punto de apoyo para ataques posteriores.

Fallo de Tutor LMS

La ruta vulnerable se encuentra en la función de cuenta de retiro de Tutor LMS. El manejador AJAX afectado, tutor_save_withdraw_account, solo verificaba un token de seguridad llamado nonce, pero no verificaba si el solicitante tenía el rol adecuado para utilizar la función.

Un suscriptor podría obtener un token válido simplemente cargando una página mientras está conectado. El fallo se deriva de un manejo inseguro de los datos almacenados en los registros de usuario de WordPress.

Una entrada especialmente diseñada puede corromper la forma en que PHP lee los datos guardados posteriormente, permitiendo que el atacante inserte un objeto inesperado en el proceso.

Esta clase de debilidad se conoce como inyección de objetos PHP y sigue siendo una preocupación seria en los ecosistemas de plugins, como se vio en riesgos anteriores de toma de control de plugins que involucraban una deserialización insegura.

Para activar la etapa final, el atacante envía la solicitud diseñada dos veces o provoca que se lea la información de retiro afectada. El plugin puede entonces cargar una biblioteca incluida que escribe contenido controlado por el atacante en una ruta de archivo elegida.

Si ese archivo es un script PHP colocado en un directorio de subidas accesible desde la web, las solicitudes posteriores podrían ejecutar comandos del sistema operativo bajo los permisos del servidor web.

El informe no afirma que esta vulnerabilidad de Tutor LMS esté siendo explotada activamente. Sin embargo, su baja barrera de autenticación la convierte en una prioridad para los administradores, especialmente en plataformas de membresía o cursos que permiten que los nuevos usuarios se registren automáticamente.

Tú y tu organización también deben recordar que el acceso autenticado puede seguir siendo peligroso, como lo demostró un fallo de código de subida de autor que requería un rol de sitio confiable.

Parche y Mitigación

Los desarrolladores del plugin lanzaron la versión 4.0.8 de Tutor LMS el 10 de septiembre de 2026 para solucionar completamente el problema. La actualización añade una verificación de permisos exclusiva para instructores, elimina el paso de procesamiento de datos inseguro, valida los métodos de retiro y limita los campos a una lista aprobada en lugar de aceptar nombres arbitrarios proporcionados por el usuario.

Si utilizas Tutor LMS, debes actualizar a la versión 4.0.8 o posterior sin demora. También deberías revisar si el registro abierto es necesario, eliminar cuentas inactivas y comprobar los usuarios administradores, las carpetas de subida y los registros del servidor web en busca de actividad inusual.

Mantener actualizadas las versiones del núcleo de WordPress también es importante, particularmente tras la reciente actualización de seguridad de WordPress que corrigió 11 vulnerabilidades adicionales.

Cuando sea posible, debes restringir el registro a los usuarios que realmente necesiten cuentas y asegurarte de que los roles de estudiante e instructor se asignen cuidadosamente.

Las copias de seguridad rutinarias siguen siendo importantes, pero deben gestionarse de forma segura porque las herramientas de migración vulnerables pueden crear otra ruta de compromiso, como se describe en la cadena de ataque de plugins de respaldo.

El cronograma de divulgación muestra que una regla de firewall protectora estuvo disponible para ciertos usuarios el 25 de agosto, mientras que la regla gratuita más amplia estaba programada para el 24 de septiembre. Debes tratar esa protección como una capa adicional, no como un reemplazo de la instalación de la versión parcheada del plugin.

Fuentes:
https://cybersecuritynews.com/tutor-lms-flaw/