Vulnerabilidad crítica en LearnPress 4.4.10: inyección de objetos PHP

Vulnerabilidad crítica en LearnPress 4.4.10: inyección de objetos PHP

Qué es y a quién afectaEl plugin LearnPress para WordPress, en todas las versiones hasta la 4.4.10 inclusive, es vulnerable a una inyección de objetos...

Qué es y a quién afecta

El plugin LearnPress para WordPress, en todas las versiones hasta la 4.4.10 inclusive, es vulnerable a una inyección de objetos PHP (CWE-502). El fallo, identificado como CVE-2026-104736, tiene una gravedad crítica con una puntuación CVSS 3.1 de 9.8 (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H).

Caja de plugin de WordPress entreabierta con un candado brillante forzado por una mano y un escudo digital cerca

El problema reside en el parámetro checkout-email que se envía durante la acción AJAX de checkout. El valor pasa por sanitize_text_field(), que no elimina la sintaxis de objetos serializados, y se almacena en la tabla de sesiones de LearnPress. Posteriormente, en peticiones posteriores, LP_Helper::maybe_unserialize() lo procesa con unserialize() sin restricción de clases permitidas a través de LP_Session_Handler::get(). Esto permite que atacantes no autenticados inyecten un objeto PHP.

La vulnerabilidad fue publicada en la NVD del NIST el 17 de octubre de 2026. Afecta a cualquier instalación de WordPress que utilice LearnPress para cursos online, incluyendo pymes, academias y comercios electrónicos que venden formación en España.

Por qué es urgente

La puntuación CVSS de 9.8 indica un riesgo máximo: el atacante no necesita autenticarse ni interactuar con la víctima, y puede comprometer la confidencialidad, integridad y disponibilidad del sitio. Aunque no consta en el catálogo KEV de CISA (no hay evidencia pública de explotación activa), la facilidad de explotación y el impacto potencial hacen que la actualización sea prioritaria. Un fallo de inyección de objetos PHP puede derivar en ejecución remota de código, acceso a datos sensibles o toma de control del sitio.

En el contexto español, donde muchas empresas gestionan datos personales de alumnos y clientes, un incidente de este tipo podría constituir una violación de seguridad con obligaciones de notificación bajo el RGPD y la LOPDGDD.

Qué hacer hoy

  • Comprueba si usas LearnPress y en qué versión. Si estás en la 4.4.10 o anterior, estás expuesto.
  • Aplica la actualización o mitigación que indique el aviso del fabricante. No inventes parches: consulta la página oficial del plugin o el changeset publicado.
  • Revisa indicios de intrusión: busca objetos serializados sospechosos en la tabla de sesiones, accesos anómalos o cambios no autorizados en el sitio.
  • Reduce lo expuesto a internet: limita el acceso al área de checkout y a wp-admin, y considera una capa de seguridad perimetral (WAF) mientras aplicas la corrección.

Si no puedes actualizar de inmediato, valora desactivar temporalmente el plugin o restringir el acceso a las funciones de checkout hasta que el fabricante publique una versión corregida.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que tienen webs en WordPress, PrestaShop o Joomla. Ante una vulnerabilidad crítica como esta, realizamos una auditoría de seguridad para detectar si tu instalación se ve afectada y si hay rastros de explotación. Aplicamos hardening en servidores y plugins, monitorizamos posibles incidentes y damos respuesta rápida si el sitio ya ha sido comprometido. También nos encargamos del mantenimiento y actualización de plugins y temas, y de la reparación de webs hackeadas, para que puedas centrarte en tu negocio con la tranquilidad de tener un equipo experto detrás.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.