WordPress の LearnPress で未認証の PHP オブジェクトインジェクション（CVSS 9.8）

Critical（CVSS 9.8）に分類されるThimPress LearnPress（WordPress の LMS プラグイン）4.4.10 以下の脆弱性です。**WordPress で講座サイトを作るプラグイン LearnPress に、ログインしていない攻撃者が PHP オブジェクトを注入できる欠陥がある。** NVD に載った Wordfence（CNA）の記述によれば、対象は **4.4.10 以下の全ての版**。購入手続きの AJAX 処理で受け取る `checkout-email` の値は `sanitize_text_field()` を通るだけでシリアライズ形式の文字列が残り、LearnPress のセッション表に保存される。次の要求で `LP_Session_Handler::get()` が `LP_Helper::maybe_unserialize()` 経由で、許可クラスの制限なしに `unserialize()` へ渡してしまう。 CVSS 3.1 は **9.8 Critical**（Wordfence の評価）。NVD は2026年10月17日に公開し、分析状況は Received。WordPress.org の掲載では有効インストール数は7万以上。 **実害の大きさは、同じサイトに入っている他のプラグインやテーマ次第である。** PHP オブジェクトインジェクションは、読み込まれているコードに悪用できるクラスの連鎖（POP チェーン）があると、ファイルの削除や任意コード実行に至る（一般論）。悪用の報告は確認できておらず、CISA KEV にも収載されていない。

**LearnPress を 4.4.11 以降へ上げる。** WordPress.org の変更履歴では、4.4.11（2026年10月16日）に Wordfence ほかへの謝辞付きで「Fixed: security」が入っている。 **4.4.10 のままにしない。** 4.4.10（2026年10月9日）でも `LP_Helper::maybe_unserialize()` は `allowed_classes` を無効にする形に変わっているが、Wordfence の記録は 4.4.10 までを対象としており、どの版で塞がったかは公開情報だけでは一致しない。最新の 4.4.11 に上げるのが確実である。 **影響を受けるかの確認**は、管理画面のプラグイン一覧で LearnPress の版が 4.4.10 以下かどうか。購入手続きの処理は未ログインで呼べるので、講座を販売していないサイトでも有効化していれば対象と考える。 **完了条件**は、LearnPress が 4.4.11 以上であること。自動更新を止めているサイトでは手動で更新する。

ThimPress LearnPress（WordPress の LMS プラグイン）4.4.10 以下 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-104736）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。