Tutor LMS bis 4.0.7: Jeder registrierte Kursteilnehmer konnte den Server übernehmen. Was Betreiber von Lernplattformen jetzt prüfen

Wer mit WordPress Online-Kurse verkauft, setzt oft auf Tutor LMS. Genau dieses Plugin hatte bis Version 4.0.7 eine Lücke, über die jeder Nutzer mit Abonnenten-Rechten Code auf dem Server ausführen konnte. Wordfence hat die Details am 17. September 2026 veröffentlicht, eine Woche nachdem der Hersteller Themeum am 10. September die bereinigte Version 4.0.8 bereitgestellt hatte. Der Punkt, der die Lücke für Kursplattformen so heikel macht: Bei den meisten Installationen ist die Registrierung offen, weil Teilnehmer sich selbst anmelden sollen. Die Hürde „angemeldeter Nutzer“ ist damit für jeden Besucher zu nehmen.

Was passiert ist

Gefunden hat die Schwachstelle nach Angaben von Wordfence deren KI-gestützter Forschungsagent Argus am 23. August 2026. Sie ist als CVE-2026-78175 erfasst und mit der Stufe „hoch“ bewertet. Themeum bestätigte den Fehler einen Tag nach der Meldung und lieferte den Patch am 10. September. Wordfence lobt ausdrücklich die schnelle Reaktion. Zahlende Wordfence-Kunden erhielten eine Firewall-Regel bereits am 25. August, Nutzer der kostenlosen Version folgen am 24. September.

Technisch handelt es sich um eine PHP Object Injection. Eine Funktion, mit der Kursleiter ihre Auszahlungsdaten speichern, prüft laut Wordfence weder Rolle noch Berechtigung, sondern verlässt sich allein auf ein Formular-Token. Die Eingabe durchläuft dann eine Bereinigungsfunktion von WordPress, die Prozentzeichen vorübergehend durch einen längeren Platzhalter ersetzt, und wird serialisiert in den Benutzer-Metadaten abgelegt. Beim Auslesen schrumpft der Platzhalter wieder auf ein Zeichen, die gespeicherten Längenangaben stimmen nicht mehr, und PHP lässt sich so zu Objekten überreden, die es nie hätte anlegen sollen. In der Folge kann ein Angreifer eigenen Code ausführen. Man braucht das nicht im Detail zu verstehen, um die Lehre zu ziehen: Eine fehlende Rechteprüfung in einer Nebenfunktion reicht für die Übernahme der ganzen Website.

Schritt 1: Version prüfen und aktualisieren

Im Backend unter „Plugins“ nach Tutor LMS suchen. Alles bis einschließlich 4.0.7 ist betroffen. Auf 4.0.8 oder neuer aktualisieren, bei der Pro-Version mit gültiger Lizenz, sonst von Hand über das Kundenkonto des Herstellers. Vorher ein Backup ziehen, danach eine Testbuchung durchspielen, weil Kursplattformen mit Zahlungsanbindung nach Updates gern an Kleinigkeiten hängen.

Schritt 2: Registrierung und Rollen kontrollieren

Die Lücke war nur deshalb so gefährlich, weil sich jeder anmelden konnte. Prüfen Sie unter „Einstellungen“ → „Allgemein“, ob „Jeder kann sich registrieren“ wirklich nötig ist und welche Standardrolle neue Nutzer bekommen. Für Kursteilnehmer reicht die niedrigste Rolle. Kursleiter, die Auszahlungsdaten pflegen, sollten eine eigene, klar begrenzte Rolle haben. Wer die Registrierung nur für zahlende Kunden braucht, kann sie an den Kauf koppeln, statt sie offen zu lassen.

Schritt 3: Nach Spuren suchen

Zwischen dem 23. August und Ihrem Update lag Zeit. Sehen Sie nach, ob sie genutzt wurde:

• Unter „Benutzer“ nach Konten suchen, die kürzlich angelegt wurden und keinen Kurs gebucht haben, sowie nach Administratoren, die Sie nicht kennen.
• Mit einem Scanner wie Wordfence oder dem Werkzeug Ihres Hosters nach geänderten Kerndateien und fremden PHP-Dateien in wp-content/uploads/ suchen.
• Geplante Aufgaben (Cron-Einträge) und Must-Use-Plugins auf Einträge prüfen, die Sie nicht erklären können.
• Auszahlungsdaten der Kursleiter kontrollieren. Die betroffene Funktion speichert genau diese Angaben.

Bei Auffälligkeiten gilt die Reihenfolge aus meinem Beitrag über WordPress-Sicherheit: sauberes Backup einspielen, alle Zugangsdaten und Schlüssel erneuern, dann erst wieder online.

Schritt 4: Vorbeugen

1. Automatische Updates für Tutor LMS aktivieren. Bei einem Plugin, das Zahlungen und Nutzerkonten verwaltet, ist eine Woche Verzug eine Woche zu viel.
2. Eine Firewall mit aktuellen Regeln einsetzen. Der Abstand von einem Monat zwischen bezahlter und kostenloser Regel ist bei Wordfence Standard.
3. Anmeldungen absichern: Zwei-Faktor-Anmeldung für alle Rollen oberhalb des Teilnehmers, Begrenzung fehlgeschlagener Logins.
4. Regelmäßig prüfen, welche Erweiterungen Nutzereingaben speichern. Jede davon ist eine mögliche Eintrittstür.

Kursplattformen sind lohnende Ziele, weil sie Kundendaten, Zahlungsverbindungen und oft Videoinhalte mit Wert enthalten. Für Kunden, deren Lernangebot ich im Rahmen der WordPress-Betreuung pflege, gehört die Prüfung der Registrierungseinstellungen deshalb in jede monatliche Wartung.

Quellen

• Wordfence: 100,000 WordPress Sites Exposed to Remote Code Execution via PHP Object Injection Vulnerability Found by Wordfence Argus in Tutor LMS

Kurz beantwortet

Welche Versionen von Tutor LMS sind betroffen?

Alle Versionen bis einschließlich 4.0.7. Version 4.0.8 vom 10. September 2026 schließt die Lücke.

Warum ist die Lücke bei Kursplattformen besonders kritisch?

Weil ein Angreifer nur ein Konto mit Abonnenten-Rechten braucht und die meisten Lernplattformen die Selbstregistrierung erlauben. Die Anmeldehürde ist damit praktisch nicht vorhanden.

Reicht das Update?

Das Update schließt die Lücke. Zusätzlich sollten Sie Nutzerkonten, Upload-Ordner und geplante Aufgaben auf Spuren prüfen und die Registrierungseinstellungen enger fassen.