Résumé
Le 12 septembre 2026, une faille critique a été décelée dans le plugin Tutor LMS utilisé pour gérer des formations en ligne sur WordPress. Cette vulnérabilité permet à un attaquant authentifié (avec un compte utilisateur basique ou supérieur) ou non authentifié (si les inscriptions sont activées) de faire exécuter du code malveillant sur le serveur du site. Cette CVE est référencée dans le catalogue KEV des vulnérabilités activement exploitées.
Solutions
Le seul moyen de se protéger est d’installer la mise à jour officielle proposée par le développeur du plugin pour corriger cette faille.
Dernière mise à jour : 20/10/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 8,8/10 (Critique)
EPSS : 1,07% (risque élevé)
Référencée comme KEV : Oui
Code d exploitation disponible : Non
Date d’ajout au KEV : 15/10/2026
Systèmes affectés
Tutor LMS – solution eLearning et cours en ligne pour WordPress : toutes les versions jusqu’à 4.0.7
Documentation
• NIST NVD