# Segurança do Moodle para escolas e entidades de formação

> Moodle, site da escola, nuvem escolar: como escolas e entidades de formação respondem ao PHP2Shell, protegem dados de alunos e definem responsabilidades.

Fonte: https://phpsos.de/pt/branchen/schulen-bildung/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** na segurança do Moodle nas escolas trata-se de dados de crianças e jovens, de notas e do ensino em curso. Esclareça primeiro quem opera o seu Moodle: o estado federado, a entidade gestora da escola, um prestador de serviços ou um professor empenhado. Disso depende quem aplica o patch ao PHP, reinicia e fornece o comprovativo.

## Que sistemas PHP correm em escolas e instituições de formação

No centro está muitas vezes a plataforma de aprendizagem [Moodle](https://phpsos.de/pt/plattformen/moodle/). A isto juntam-se o site da escola, frequentemente em WordPress ou Joomla, ferramentas para planos de substituição, formulários de cartas aos encarregados de educação e de inscrição, sistemas de reserva de salas e equipamentos e arquivos de ficheiros como o [Nextcloud](https://phpsos.de/pt/plattformen/nextcloud/). Quase tudo isto corre em PHP.

Nas entidades de formação privadas, nas escolas de adultos (Volkshochschulen) e nos prestadores de formação contínua juntam-se a reserva de cursos, a gestão de participantes e os exames online. Aqui, a plataforma de aprendizagem está muitas vezes ligada diretamente à faturação e aos dados dos participantes.

## Que dados existem no Moodle e afins

Uma plataforma de aprendizagem contém mais do que fichas de trabalho: nomes e turmas dos alunos, trabalhos entregues, avaliações e feedback, mensagens de fóruns, mensagens entre professores e alunos e, nas entidades de formação, também certificados de participação e resultados de exames. Pontualmente encontram-se indicações sobre necessidades educativas especiais ou limitações de saúde, que podem pertencer às categorias especiais nos termos do Art. 9 do RGPD.

Os afetados são na sua maioria menores. Isso aumenta o risco numa fuga de dados, porque as crianças dificilmente conseguem defender-se por si de consequências como abordagens dirigidas ou exposição. Para as obrigações de notificação aplica-se o [prazo de 72 horas do RGPD](https://phpsos.de/pt/compliance/dsgvo-meldepflicht-72-stunden/); a avaliação cabe ao encarregado da proteção de dados competente.

## Escola, Moodle e segurança: a questão da responsabilidade

| Modelo de operação | Quem aplica o patch ao PHP | O que a escola deve verificar |
|---|---|---|
| Centralmente pelo estado federado ou instituto estadual | Operador do estado federado | sistemas adicionais próprios da escola |
| Através da entidade gestora da escola ou de um centro de media | TI da entidade gestora | pedir confirmação escrita |
| Prestador de serviços externo | Prestador, segundo o contrato | se o PHP consta expressamente do contrato |
| Servidor próprio, mantido por um professor | a própria escola | tempo, conhecimentos e substituição |

O último modelo é mais comum do que muitos pensam. Um professor empenhado instalou o Moodle há anos e mantém-no nas horas vagas. Perante uma vulnerabilidade crítica, faltam então tempo, substituição e, muitas vezes, também os direitos para agir depressa.

> **Importante:**
> Uma atualização do Moodle não fecha o PHP2Shell. A vulnerabilidade só fica corrigida com o PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou com um backport confirmado, e só depois do reinício de todos os processos PHP.

## O que significa uma falha para as aulas e os exames

Se o Moodle falha, faltam materiais e possibilidades de entrega de trabalhos. Em períodos de exames ou pouco antes das pautas, isto é particularmente delicado. Ainda assim, vale: é melhor desligar uma plataforma de forma ordenada durante algumas horas do que deixá-la a funcionar sem patch. Um sistema comprometido pode falsificar trabalhos entregues ou assumir contas de professores.

Planeie por isso uma via alternativa simples, por exemplo a entrega através de outro sistema não afetado, e informe brevemente professores, alunos e encarregados de educação sobre o motivo.

Depois de uma limpeza, vale a pena olhar para as contas. As escolas têm muitos utilizadores com direitos alargados: professores, estagiários, chefias de departamento, antigos colegas cujos acessos nunca foram eliminados. As contas órfãs com direitos de professor são um caminho cómodo de regresso à plataforma. Uma comparação com a lista de pessoal atual da escola fecha essa porta, e as contas com direitos de administrador devem limitar-se a poucas pessoas.

## Particularidades das entidades de formação e da formação contínua

As entidades de formação privadas, as escolas de adultos e os prestadores de formação contínua trabalham muitas vezes com participantes adultos, mas com mais dados económicos: reservas de cursos com dados de pagamento, faturas a clientes empresariais, documentos sobre medidas subsidiadas, resultados de exames e certificados. A plataforma de aprendizagem está aqui frequentemente ligada ao sistema de reservas e à contabilidade.

Um ataque pode por isso afetar também certificados e resultados de exames. Quem consegue alterar dados na plataforma pode falsificar menções de aprovação ou emitir comprovativos que nunca foram obtidos. Depois de um incidente, mande verificar se avaliações e certificados foram alterados posteriormente e compare-os com os seus documentos de exame.

## Primeiros passos para a direção da escola e a entidade gestora

1. Esclarecer quem opera o Moodle, o site e a nuvem e pedir, para cada um, a confirmação escrita do nível de patch e do reinício.
2. Colocar em modo de manutenção ou desligar da rede os sistemas não confirmados.
3. Mandar guardar os registos desde 20/10/2026.
4. Verificar as contas de administrador: existem administradores novos ou desconhecidos?
5. Informar o encarregado da proteção de dados e a entidade gestora da escola.

## Como ajuda concretamente a PHP SOS?

- Articulamo-nos com a direção da escola, a entidade gestora e o professor responsável e esclarecemos quem responde por cada sistema.
- Através da [ajuda imediata PHP2Shell](https://phpsos.de/pt/leistungen/php2shell-soforthilfe/), aplicamos o patch ao PHP, reiniciamos todos os workers e comprovamos o resultado.
- Verificamos o diretório de dados do Moodle, a base de dados e as contas de administrador quanto a vestígios de um ataque.
- Em seguida, assumimos o [hardening do servidor](https://phpsos.de/pt/leistungen/server-haertung/), para que a plataforma deixe de depender de uma única pessoa.


## Perguntas frequentes

**O nosso Moodle corre através do estado federado. Temos de fazer alguma coisa?**  
Se o Moodle for operado centralmente pelo estado federado ou por um instituto estadual, o patch cabe ao operador. A escola deve, mesmo assim, verificar se existem sistemas próprios adicionais, por exemplo o site da escola ou uma nuvem operada por si. Estes ficam normalmente sob a responsabilidade da escola ou da entidade gestora da escola.

**Uma atualização do Moodle basta contra o PHP2Shell?**  
Não. O PHP2Shell afeta o próprio PHP, sobre o qual o Moodle corre. São necessários um PHP com patch e o reinício de todos os processos PHP. Que versão do PHP a sua versão do Moodle suporta, verifique-o nos requisitos de sistema em moodle.org.

**Quem é responsável por uma fuga de dados na escola?**  
A responsabilidade distribui-se, consoante o estado federado, entre a escola, a direção da escola e a entidade gestora da escola. Para a avaliação das obrigações de notificação, o primeiro endereço é o encarregado da proteção de dados competente. As responsabilidades devem estar esclarecidas por escrito antes de um incidente.

## Fontes

- [php.net: avisos de segurança](https://www.php.net/)
- [BSI: avisos e recomendações](https://www.bsi.bund.de/)
- [RGPD Art. 33: notificação à autoridade de controlo](https://dsgvo-gesetz.de/art-33-dsgvo/)