Stručně: U bezpečnosti Moodle na školách jde o data dětí a mladistvých, o známky a o probíhající výuku. Nejdřív ujasněte, kdo váš Moodle provozuje: spolková země, zřizovatel školy, dodavatel, nebo nadšený učitel. Od toho závisí, kdo záplatuje PHP, restartuje ho a dodá doklad.
Jaké systémy PHP běží ve školách a vzdělávacích zařízeních
V centru je často výuková platforma Moodle. K tomu přistupuje školní web, často na WordPressu nebo Joomle, nástroje pro rozvrhy suplování, formuláře pro dopisy rodičům a přihlášky, rezervační systémy pro místnosti a zařízení a úložiště souborů jako Nextcloud. Skoro všechno z toho běží na PHP.
U soukromých poskytovatelů vzdělávání, lidových univerzit (Volkshochschulen) a poskytovatelů dalšího vzdělávání přibývá rezervace kurzů, správa účastníků a online zkoušky. Výuková platforma je tu často přímo propojena s fakturací a údaji o účastnících.
Jaká data v Moodle a podobných systémech leží
Výuková platforma obsahuje víc než pracovní listy: jména a třídy žáků, odevzdané práce, hodnocení a zpětnou vazbu, příspěvky ve fórech, zprávy mezi učiteli a žáky, u poskytovatelů vzdělávání také potvrzení o účasti a výsledky zkoušek. Ojediněle se najdou poznámky o potřebě podpory nebo zdravotním omezení, které mohou patřit do zvláštních kategorií podle čl. 9 GDPR.
Dotčené osoby jsou převážně nezletilé. To zvyšuje riziko při úniku dat, protože děti si následky, jako je cílené oslovování nebo zesměšnění, samy sotva dokážou ubránit. Pro oznamovací povinnosti platí 72hodinová lhůta podle GDPR, posouzení provede příslušný pověřenec pro ochranu osobních údajů.
Škola, Moodle a bezpečnost: otázka odpovědnosti
| Provozní model | Kdo záplatuje PHP | Co by škola měla ověřit |
|---|---|---|
| Centrálně spolková země nebo zemský ústav | provozovatel spolkové země | vlastní doplňkové systémy školy |
| Přes zřizovatele školy nebo mediální centrum | IT zřizovatele | vyžádat písemné potvrzení |
| Externí dodavatel | dodavatel podle smlouvy | zda je PHP ve smlouvě výslovně uvedeno |
| Vlastní server, který spravuje učitel | škola sama | čas, znalosti a zastupování |
Poslední model je rozšířenější, než si mnozí myslí. Nadšený učitel před lety Moodle nastavil a spravuje ho při své práci. Při kritické zranitelnosti pak chybí čas, zástup a často i oprávnění k rychlému jednání.
Aktualizace Moodle PHP2Shell neuzavře. Zranitelnost je odstraněna až s PHP 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, resp. potvrzeným backportem, a teprve po restartu všech procesů PHP.
Co výpadek znamená pro výuku a zkoušky
Když Moodle vypadne, chybí materiály a možnosti odevzdání. V obdobích zkoušek nebo těsně před vysvědčením je to obzvlášť choulostivé. Přesto platí: raději platformu na několik hodin řízeně vypnout, než ji nechat běžet nezáplatovanou. Napadený systém může zfalšovat odevzdané práce nebo převzít účty učitelů.
Naplánujte proto jednoduchou náhradní cestu, například odevzdávání přes jiný, nepostižený systém, a stručně informujte učitele, žáky a rodiče o důvodu.
Po vyčištění stojí za to podívat se na účty. Školy mají mnoho uživatelů s rozšířenými právy: učitele, začínající učitele, vedoucí předmětových komisí, bývalé kolegy a kolegyně, jejichž přístupy nebyly nikdy smazány. Osiřelé účty s právy učitele jsou pohodlnou cestou zpět do platformy. Porovnání s aktuálním seznamem zaměstnanců školy tyto dveře zavře a účty s právy administrátora by měly být omezeny na několik osob.
Zvláštnosti u poskytovatelů vzdělávání a dalšího vzdělávání
Soukromí poskytovatelé vzdělávání, lidové univerzity a poskytovatelé dalšího vzdělávání pracují často s dospělými účastníky, zato s více ekonomickými daty: rezervace kurzů s platebními údaji, faktury firemním zákazníkům, podklady k dotovaným opatřením, výsledky zkoušek a certifikáty. Výuková platforma je tu často propojena s rezervačním systémem a účetnictvím.
Útok se proto může týkat i certifikátů a výsledků zkoušek. Kdo může v platformě měnit data, může padělat záznamy o složení zkoušky nebo vystavovat doklady, které nikdy nebyly získány. Po incidentu nechte zkontrolovat, zda nebyla hodnocení a certifikáty dodatečně změněna, a porovnejte je se svými zkušebními podklady.
První kroky pro vedení školy a zřizovatele
- Ujasnit, kdo provozuje Moodle, web a cloud, a u každého nechat písemně potvrdit stav záplat a restart.
- Nepotvrzené systémy přepnout do režimu údržby nebo odpojit od sítě.
- Nechat zajistit logy od 20. 10. 2026.
- Zkontrolovat administrátorské účty: Existují noví nebo neznámí administrátoři?
- Informovat pověřence pro ochranu osobních údajů a zřizovatele školy.
Jak konkrétně pomáhá PHP SOS?
- Domluvíme se s vedením školy, zřizovatelem a pečujícím učitelem a ujasníme, kdo který systém zodpovídá.
- Prostřednictvím okamžité pomoci při PHP2Shell záplatujeme PHP, restartujeme všechny workery a výsledek doložíme.
- Zkontrolujeme datový adresář Moodle, databázi a administrátorské účty na stopy útoku.
- Poté převezmeme hardening serveru, aby platforma už nezávisela na jednotlivci.
Časté dotazy
Náš Moodle provozuje spolková země. Musíme něco dělat?
Pokud Moodle centrálně provozuje spolková země nebo zemský ústav, leží záplata na provozovateli. Škola by přesto měla ověřit, zda vedle toho existují vlastní systémy, například školní web nebo vlastní provozovaný cloud. Ty zpravidla spadají do odpovědnosti školy nebo zřizovatele školy.
Stačí proti PHP2Shell aktualizace Moodle?
Ne. PHP2Shell se týká samotného PHP, na kterém Moodle běží. Nutné je záplatované PHP a restart všech procesů PHP. Kterou verzi PHP vaše verze Moodle podporuje, ověřte v systémových požadavcích na moodle.org.
Kdo odpovídá při úniku dat na škole?
Odpovědnost se podle spolkové země dělí mezi školu, vedení školy a zřizovatele. Pro posouzení oznamovacích povinností je první adresou příslušný pověřenec pro ochranu osobních údajů. Odpovědnosti by měly být písemně ujasněny ještě před incidentem.