Stručne: Pri bezpečnosti Moodle na školách ide o údaje detí a mladistvých, o známky a o prebiehajúce vyučovanie. Najprv vyjasnite, kto váš Moodle prevádzkuje: spolková krajina, zriaďovateľ, dodávateľ alebo angažovaný učiteľ. Od toho závisí, kto záplatuje PHP, reštartuje a dodá doklad.
Ktoré systémy PHP bežia na školách a vo vzdelávacích inštitúciách
V centre je často vzdelávacia platforma Moodle. Pristupuje školský web, často na WordPress alebo Joomla, nástroje na plány suplovania, formuláre na rodičovské listy a prihlášky, rezervačné systémy pre miestnosti a zariadenia a úložiská súborov ako Nextcloud. Takmer všetko z toho beží na PHP.
U súkromných vzdelávacích inštitúcií, vzdelávacích centier pre dospelých (Volkshochschulen) a poskytovateľov ďalšieho vzdelávania pristupuje rezervácia kurzov, správa účastníkov a online skúšky. Vzdelávacia platforma je tu často priamo prepojená s fakturáciou a údajmi o účastníkoch.
Ktoré údaje sú v Moodle a podobných systémoch
Vzdelávacia platforma obsahuje viac než pracovné listy: mená a triedy žiakov, odovzdané práce, hodnotenia a spätnú väzbu, príspevky vo fórach, správy medzi učiteľmi a žiakmi, u vzdelávacích inštitúcií aj potvrdenia o účasti a výsledky skúšok. Ojedinele sa nájdu údaje o špeciálnych potrebách alebo zdravotných obmedzeniach, ktoré môžu patriť medzi osobitné kategórie podľa čl. 9 GDPR.
Dotknuté osoby sú prevažne maloleté. To zvyšuje riziko pri úniku údajov, pretože deti sa takým následkom, ako je cielené oslovovanie alebo zosmiešnenie, sotva dokážu samy brániť. Pre oznamovacie povinnosti platí 72-hodinová lehota podľa GDPR, posúdenie vykoná príslušná zodpovedná osoba za ochranu údajov.
Škola, Moodle a bezpečnosť: otázka zodpovednosti
| Model prevádzky | Kto záplatuje PHP | Čo by mala škola preveriť |
|---|---|---|
| Centrálne spolkovou krajinou alebo krajským ústavom | prevádzkovateľ spolkovej krajiny | vlastné doplnkové systémy školy |
| Cez zriaďovateľa školy alebo mediálne centrum | IT zriaďovateľa | vyžiadať písomné potvrdenie |
| Externý dodávateľ | dodávateľ podľa zmluvy | či je PHP výslovne uvedené v zmluve |
| Vlastný server, spravovaný učiteľom | škola sama | čas, znalosti a zastupovanie |
Posledný model je rozšírenejší, než si mnohí myslia. Angažovaný učiteľ nastavil Moodle pred rokmi a spravuje ho popri práci. Pri kritickej zraniteľnosti potom chýba čas, zastupovanie a často aj oprávnenia na rýchle konanie.
Aktualizácia Moodle PHP2Shell neuzavrie. Zraniteľnosť je odstránená až s PHP 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, resp. potvrdeným backportom, a až po reštarte všetkých procesov PHP.
Čo znamená výpadok pre vyučovanie a skúšky
Ak Moodle vypadne, chýba materiál a možnosti odovzdávania. V skúškových obdobiach alebo krátko pred vysvedčeniami je to obzvlášť citlivé. Napriek tomu platí: radšej platformu na niekoľko hodín usporiadane vypnúť, než ju nechať bežať nezáplatovanú. Kompromitovaný systém môže falšovať odovzdané práce alebo prevziať účty učiteľov.
Naplánujte preto jednoduchú náhradnú cestu, napríklad odovzdávanie cez iný, nedotknutý systém, a stručne informujte učiteľov, žiakov a rodičov o dôvode.
Po vyčistení sa oplatí pozrieť na účty. Školy majú mnoho používateľov s rozšírenými oprávneniami: učiteľov, učiteľov na praxi (Referendare), vedúcich predmetových komisií, bývalých kolegov a kolegyne, ktorých prístupy sa nikdy nezmazali. Osirelé účty s právami učiteľa sú pohodlnou cestou späť do platformy. Porovnanie s aktuálnym zoznamom zamestnancov školy tieto dvere zatvorí a účty s právami administrátora by mali byť obmedzené na niekoľko osôb.
Osobitosti vzdelávacích inštitúcií a ďalšieho vzdelávania
Súkromné vzdelávacie inštitúcie, vzdelávacie centrá pre dospelých a poskytovatelia ďalšieho vzdelávania pracujú často s dospelými účastníkmi, ale s väčším množstvom ekonomických údajov: rezervácie kurzov s platobnými údajmi, faktúry pre firemných zákazníkov, podklady k podporovaným opatreniam, výsledky skúšok a certifikáty. Vzdelávacia platforma je tu často prepojená s rezervačným systémom a účtovníctvom.
Útok sa preto môže týkať aj certifikátov a výsledkov skúšok. Kto môže v platforme meniť údaje, môže falšovať poznámky o úspešnom absolvovaní alebo vystavovať potvrdenia, ktoré sa nikdy nezískali. Po incidente nechajte preveriť, či sa hodnotenia a certifikáty dodatočne nezmenili, a porovnajte ich so skúšobnými podkladmi.
Prvé kroky pre vedenie školy a zriaďovateľa
- Vyjasniť, kto prevádzkuje Moodle, web a cloud, a pre každý nechať písomne potvrdiť stav záplat a reštart.
- Nepotvrdené systémy prepnúť do režimu údržby alebo odpojiť od siete.
- Nechať zálohovať logy od 20. 10. 2026.
- Skontrolovať admin účty: existujú noví alebo neznámi administrátori?
- Informovať zodpovednú osobu za ochranu údajov a zriaďovateľa školy.
Ako konkrétne pomáha PHP SOS?
- Koordinujeme sa s vedením školy, zriaďovateľom a spravujúcim učiteľom a vyjasníme, kto zodpovedá za ktorý systém.
- Prostredníctvom okamžitej pomoci pri PHP2Shell záplatujeme PHP, reštartujeme všetky workery a výsledok preukážeme.
- Preveríme dátový adresár Moodle, databázu a admin účty na stopy po útoku.
- Následne prevezmeme hardening servera, aby platforma už nezávisela od jednej osoby.
Časté otázky
Náš Moodle beží cez spolkovú krajinu. Musíme niečo urobiť?
Ak Moodle centrálne prevádzkuje spolková krajina alebo krajský ústav, záplata je na prevádzkovateľovi. Škola by však mala preveriť, či popri tom neexistujú vlastné systémy, napríklad školský web alebo vlastne prevádzkovaný cloud. Tie sú väčšinou v zodpovednosti školy alebo zriaďovateľa.
Stačí proti PHP2Shell aktualizácia Moodle?
Nie. PHP2Shell sa týka samotného PHP, na ktorom Moodle beží. Potrebné je záplatované PHP a reštart všetkých procesov PHP. Ktorú verziu PHP vaša verzia Moodle podporuje, overíte v systémových požiadavkách na moodle.org.
Kto zodpovedá za únik údajov na škole?
Zodpovednosť sa podľa spolkovej krajiny rozdeľuje medzi školu, vedenie školy a zriaďovateľa. Pri posúdení oznamovacích povinností je prvou adresou príslušná zodpovedná osoba za ochranu údajov. Zodpovednosti by mali byť písomne vyjasnené ešte pred incidentom.