🚨 Alerta crítica: Se ha publicado la vulnerabilidad CVE-2026-19092 que afecta al plugin Tutor LMS para WordPress en versiones anteriores a 4.0.6. Un atacante sin autenticación puede sobrescribir variables internas al renderizar plantillas y ejecutar funciones PHP de cero argumentos, obteniendo su salida. CVSS 9.8 (CRITICAL).
Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-19092 |
| Fabricante | PHP Group (contexto) / Desconocido (CVE.org) |
| Producto | PHP (contexto) / Tutor LMS (plugin WordPress) |
| Fecha de publicación | 2026-08-27T18:17:04.150Z |
| Severidad | CRITICAL |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 220 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-19092 reside en el plugin Tutor LMS para WordPress. Las versiones anteriores a 4.0.6 no validan correctamente los datos de la petición al renderizar plantillas, permitiendo que un usuario no autenticado sobrescriba variables internas. Esto posibilita la invocación de funciones PHP arbitrarias que no requieren argumentos y la obtención de su resultado, lo que constituye una inyección de código (CWE‑74).
Productos y versiones vulnerables
| Producto | Versión afectada | Estado |
|---|---|---|
| Tutor LMS (WordPress) | 2.1.3 – < 4.0.6 | afectado |
Fuente: CVE.org (affected versions).
Impacto y riesgo
- Confidencialidad: Alta – el atacante puede leer la salida de funciones internas.
- Integridad: Alta – posibilidad de modificar el comportamiento de la aplicación.
- Disponibilidad: Alta – ejecución de código puede derivar en denegación de servicio.
- Vector de ataque: Red (AV:N), baja complejidad (AC:L), sin privilegios (PR:N), sin interacción de usuario (UI:N).
- Puntuación CVSS 3.1: 9.8 (CRITICAL).
- Exploitability score: 3.9 / Impact score: 5.9.
Estado de explotación conocida
No se ha reportado explotación activa en las fuentes consultadas (NVD, CVE.org, WPScan). La selección de esta CVE por RyzerBot se basa en su publicación reciente y su puntuación CVSS ≥ 9.0, no en evidencia de explotación en la naturaleza.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
- Accede al panel de administración de WordPress.
- Ve a Plugins → Plugins instalados y localiza Tutor LMS.
- Verifica la versión mostrada; si es inferior a 4.0.6, el sitio es vulnerable.
- Revisa los registros del servidor en busca de llamadas inusuales a funciones PHP sin argumentos.
Mitigación y actualización
- Actualiza el plugin Tutor LMS a la versión 4.0.6 o superior desde el repositorio oficial de WordPress o desde el panel de actualizaciones.
- Si no es posible actualizar de inmediato, considera desactivar el plugin temporalmente y aplicar un WAF que bloquee peticiones sospechosas a endpoints de plantillas.
- Consulta el aviso oficial del fabricante (enlace en Fuentes oficiales) para instrucciones adicionales.
Checklist para administradores
- ☐ Verificar versión de Tutor LMS en todos los sitios gestionados.
- ☐ Aplicar actualización a 4.0.6 o superior.
- ☐ Revisar logs de acceso y error tras la actualización.
- ☐ Confirmar que no se han ejecutado funciones PHP inesperadas.
- ☐ Actualizar reglas de WAF/IDS si se usaban mitigaciones temporales.
- ☐ Documentar la incidencia y cerrar el ticket de vulnerabilidad.
Preguntas frecuentes
- ¿Qué versiones de Tutor LMS son vulnerables?
- Todas las versiones desde 2.1.3 hasta < 4.0.6.
- ¿Puede un atacante explotar esto sin autenticación?
- Sí, la vulnerabilidad permite a usuarios no autenticados invocar funciones PHP de cero argumentos.
- ¿Existe exploit público?
- Las fuentes consultadas (WPScan, NVD) no indican la existencia de un exploit público funcional.
- ¿Qué debo hacer si no puedo actualizar ahora?
- Desactiva el plugin y aplica mitigaciones perimetrales (WAF) hasta poder actualizar.
- ¿Esta vulnerabilidad afecta al núcleo de PHP?
- No, afecta exclusivamente al plugin Tutor LMS para WordPress.
- ¿Dónde encuentro el aviso oficial?
- En la página de WPScan vinculada en la sección Fuentes oficiales.