Krótko: W bezpieczeństwie Moodle w szkołach chodzi o dane dzieci i młodzieży, o oceny i o bieżące lekcje. Proszę najpierw ustalić, kto prowadzi Państwa Moodle: kraj związkowy, organ prowadzący szkołę, usługodawca czy zaangażowany nauczyciel. Od tego zależy, kto łata PHP, restartuje i dostarcza dowód.
Jakie systemy PHP działają w szkołach i placówkach oświatowych
W centrum stoi często platforma edukacyjna Moodle. Do tego dochodzą strona szkoły, często na WordPressie lub Joomli, narzędzia do planów zastępstw, formularze listów do rodziców i zapisów, systemy rezerwacji sal i sprzętu oraz składy plików, takie jak Nextcloud. Prawie wszystko to działa na PHP.
U prywatnych organizatorów kształcenia, uniwersytetów ludowych (Volkshochschulen) i dostawców szkoleń dochodzą rezerwacja kursów, zarządzanie uczestnikami i egzaminy online. Tutaj platforma edukacyjna jest często bezpośrednio połączona z fakturowaniem i danymi uczestników.
Jakie dane znajdują się w Moodle i podobnych systemach
Platforma edukacyjna zawiera więcej niż arkusze pracy: imiona i klasy uczniów, prace, oceny i informacje zwrotne, wpisy na forach, wiadomości między nauczycielami a uczniami, u organizatorów kształcenia także zaświadczenia o uczestnictwie i wyniki egzaminów. Sporadycznie pojawiają się wskazówki o potrzebach specjalnych lub ograniczeniach zdrowotnych, które mogą należeć do szczególnych kategorii według art. 9 RODO.
Osoby, których dane dotyczą, są w przeważającej części niepełnoletnie. To zwiększa ryzyko przy wycieku danych, ponieważ dzieci same prawie nie potrafią obronić się przed skutkami, takimi jak ukierunkowane zaczepki czy wystawienie na pośmiewisko. Dla obowiązków zgłoszeniowych obowiązuje termin 72 godzin z RODO, ocenę przeprowadza właściwy inspektor ochrony danych.
Szkoła, Moodle i bezpieczeństwo: kwestia odpowiedzialności
| Model eksploatacji | Kto łata PHP | Co szkoła powinna sprawdzić |
|---|---|---|
| Centralnie przez kraj związkowy lub krajowy instytut | Operator kraju związkowego | własne systemy dodatkowe szkoły |
| Przez organ prowadzący szkołę lub centrum medialne | IT organu prowadzącego | zażądać pisemnego potwierdzenia |
| Zewnętrzny usługodawca | Usługodawca zgodnie z umową | czy PHP wprost występuje w umowie |
| Własny serwer, obsługiwany przez nauczyciela | sama szkoła | czas, wiedza i zastępstwo |
Ostatni model jest bardziej rozpowszechniony, niż wielu sądzi. Zaangażowany nauczyciel postawił Moodle przed laty i utrzymuje go przy okazji. Przy krytycznej luce brakuje wtedy czasu, zastępstwa i często także uprawnień, aby szybko działać.
Aktualizacja Moodle nie zamyka PHP2Shell. Luka jest usunięta dopiero w PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo przy potwierdzonym backporcie, i dopiero po restarcie wszystkich procesów PHP.
Co awaria oznacza dla lekcji i egzaminów
Jeśli Moodle przestaje działać, brakuje materiałów i możliwości oddawania prac. W okresach egzaminacyjnych lub tuż przed świadectwami jest to szczególnie delikatne. Mimo to obowiązuje zasada: lepiej na kilka godzin w uporządkowany sposób wyłączyć platformę, niż pozwolić jej działać niezałatanej. Skompromitowany system może fałszować prace lub przejmować konta nauczycieli.
Proszę więc zaplanować prostą drogę zastępczą, na przykład oddawanie prac przez inny, niedotknięty system, i krótko poinformować nauczycieli, uczniów i rodziców o przyczynie.
Po oczyszczeniu warto przyjrzeć się kontom. Szkoły mają wielu użytkowników z rozszerzonymi uprawnieniami: nauczycieli, nauczycieli stażystów, kierowników zespołów przedmiotowych, byłych koleżanki i kolegów, których dostępów nigdy nie usunięto. Porzucone konta z uprawnieniami nauczyciela to wygodna droga powrotna do platformy. Porównanie z aktualną listą pracowników szkoły zamyka te drzwi, a konta z uprawnieniami administratora powinny być ograniczone do kilku osób.
Szczególne cechy organizatorów kształcenia i doskonalenia zawodowego
Prywatni organizatorzy kształcenia, uniwersytety ludowe i dostawcy szkoleń pracują często z dorosłymi uczestnikami, ale z większą ilością danych gospodarczych: rezerwacje kursów z danymi płatniczymi, faktury dla klientów firmowych, dokumenty dotyczące dofinansowywanych działań, wyniki egzaminów i certyfikaty. Platforma edukacyjna jest tu często połączona z systemem rezerwacji i księgowością.
Atak może więc dotyczyć także certyfikatów i wyników egzaminów. Kto może zmieniać dane w platformie, może fałszować adnotacje o zaliczeniu lub wystawiać zaświadczenia, które nigdy nie zostały uzyskane. Proszę po incydencie kazać sprawdzić, czy oceny i certyfikaty nie zostały zmienione po fakcie, i porównać je z dokumentacją egzaminacyjną.
Pierwsze kroki dla dyrekcji szkoły i organu prowadzącego
- Ustalić, kto prowadzi Moodle, stronę i chmurę, i dla każdego z nich kazać na piśmie potwierdzić stan poprawek i restart.
- Niepotwierdzone systemy przełączyć w tryb konserwacji lub odłączyć od sieci.
- Kazać zabezpieczyć logi od 20.10.2026.
- Sprawdzić konta administratorów: czy są nowi lub nieznani administratorzy?
- Poinformować inspektora ochrony danych i organ prowadzący szkołę.
Jak PHP SOS pomaga w praktyce?
- Uzgadniamy działania z dyrekcją szkoły, organem prowadzącym i opiekującym się nauczycielem oraz ustalamy, kto odpowiada za który system.
- W ramach natychmiastowej pomocy przy PHP2Shell łatamy PHP, restartujemy wszystkie procesy worker i dokumentujemy wynik.
- Sprawdzamy katalog danych Moodle, bazę danych i konta administratorów pod kątem śladów ataku.
- Następnie przejmujemy utwardzanie serwera, aby platforma nie zależała już od jednej osoby.
Częste pytania
Nasz Moodle działa przez kraj związkowy. Czy musimy coś robić?
Jeśli Moodle jest prowadzony centralnie przez kraj związkowy lub krajowy instytut, poprawka leży po stronie operatora. Szkoła powinna mimo to sprawdzić, czy obok istnieją własne systemy, na przykład strona szkoły lub samodzielnie prowadzona chmura. Te leżą zwykle w odpowiedzialności szkoły lub organu prowadzącego szkołę.
Czy aktualizacja Moodle wystarcza przeciw PHP2Shell?
Nie. PHP2Shell dotyczy samego PHP, na którym działa Moodle. Potrzebne są załatane PHP i restart wszystkich procesów PHP. To, jaką wersję PHP obsługuje Państwa wersja Moodle, sprawdzają Państwo w wymaganiach systemowych na moodle.org.
Kto odpowiada za wyciek danych w szkole?
Odpowiedzialność rozkłada się zależnie od kraju związkowego między szkołę, dyrekcję i organ prowadzący. Przy ocenie obowiązków zgłoszeniowych pierwszym adresem jest właściwy inspektor ochrony danych. Odpowiedzialności powinny być wyjaśnione na piśmie przed incydentem.