En resumen: en la seguridad de Moodle en los colegios están en juego datos de niños y jóvenes, calificaciones y las clases en curso. Aclare primero quién opera su Moodle: el estado federado, la entidad titular, un prestador de servicios o un docente comprometido. De ello depende quién parchea PHP, reinicia y entrega el justificante.
Qué sistemas PHP funcionan en colegios y centros educativos
En el centro suele estar la plataforma de aprendizaje Moodle. A ello se suman la web del colegio, a menudo con WordPress o Joomla, herramientas para los planes de sustituciones, formularios de cartas a las familias e inscripciones, sistemas de reserva de aulas y dispositivos, y almacenes de archivos como Nextcloud. Casi todo funciona con PHP.
En las entidades formativas privadas, las escuelas populares de adultos (Volkshochschulen) y los proveedores de formación continua se añaden la reserva de cursos, la gestión de participantes y los exámenes en línea. Aquí la plataforma de aprendizaje suele estar conectada directamente con la facturación y los datos de los participantes.
Qué datos hay en Moodle y similares
Una plataforma de aprendizaje contiene más que fichas de trabajo: nombres y clases del alumnado, entregas, calificaciones y comentarios, aportaciones a foros, mensajes entre docentes y alumnos y, en las entidades formativas, también certificados de participación y resultados de exámenes. De forma puntual hay indicaciones sobre necesidades de apoyo o limitaciones de salud, que pueden pertenecer a las categorías especiales del art. 9 del RGPD.
Los afectados son en su mayoría menores. Eso aumenta el riesgo en una fuga de datos, porque los niños apenas pueden defenderse por sí mismos de consecuencias como el acercamiento dirigido o la humillación. Para las obligaciones de notificación rige el plazo de 72 horas del RGPD; la valoración corresponde al delegado de protección de datos competente.
Colegio, Moodle y seguridad: la cuestión de la responsabilidad
| Modelo de operación | Quién parchea PHP | Qué debería comprobar el colegio |
|---|---|---|
| De forma centralizada por el estado federado o un instituto estatal | Operador del estado federado | Sistemas adicionales propios del colegio |
| A través de la entidad titular o de un centro de medios | TI de la entidad titular | Solicitar confirmación por escrito |
| Prestador de servicios externo | Prestador, según contrato | Si PHP figura expresamente en el contrato |
| Servidor propio, atendido por un docente | El propio colegio | Tiempo, conocimientos y sustitución |
El último modelo está más extendido de lo que muchos piensan. Un docente comprometido montó Moodle hace años y lo mantiene como tarea secundaria. Ante una vulnerabilidad crítica faltan entonces tiempo, sustitución y, a menudo, también los permisos para actuar con rapidez.
Una actualización de Moodle no cierra PHP2Shell. La vulnerabilidad solo está corregida con PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 o con un backport confirmado, y solo tras reiniciar todos los procesos de PHP.
Qué supone una caída para las clases y los exámenes
Si Moodle se cae, faltan materiales y posibilidades de entrega. En épocas de exámenes o poco antes de las notas, eso es especialmente delicado. Aun así, vale esto: es mejor desactivar una plataforma durante unas horas de forma ordenada que dejarla funcionando sin parchear. Un sistema comprometido puede falsificar entregas o apoderarse de cuentas de docentes.
Por eso, planifique una vía alternativa sencilla, por ejemplo la entrega a través de otro sistema no afectado, e informe brevemente del motivo a docentes, alumnado y familias.
Tras una limpieza merece la pena revisar las cuentas. Los colegios tienen muchos usuarios con permisos ampliados: docentes, profesores en prácticas, jefaturas de departamento y antiguos compañeros cuyos accesos nunca se eliminaron. Las cuentas huérfanas con permisos de docente son un camino cómodo para volver a la plataforma. Cotejarlas con la lista actual de personal del colegio cierra esa puerta, y las cuentas con permisos de administrador deberían limitarse a pocas personas.
Particularidades de las entidades formativas y la formación continua
Las entidades formativas privadas, las escuelas populares de adultos y los proveedores de formación continua trabajan a menudo con participantes adultos, pero con más datos económicos: reservas de cursos con datos de pago, facturas a empresas clientes, documentación de medidas subvencionadas, resultados de exámenes y certificados. Aquí la plataforma de aprendizaje suele estar conectada con el sistema de reservas y la contabilidad.
Un ataque puede afectar, por tanto, también a certificados y resultados de exámenes. Quien puede modificar datos en la plataforma puede falsificar anotaciones de aprobado o emitir justificantes que nunca se obtuvieron. Tras un incidente, haga comprobar si las calificaciones y los certificados se han modificado a posteriori y cótejelos con su documentación de exámenes.
Primeros pasos para la dirección del colegio y la entidad titular
- Aclarar quién opera Moodle, la web y la nube, y hacer confirmar por escrito, en cada caso, el estado del parche y el reinicio.
- Poner en modo de mantenimiento o desconectar de la red los sistemas no confirmados.
- Hacer conservar los registros desde el 20/10/2026.
- Revisar las cuentas de administrador: ¿hay administradores nuevos o desconocidos?
- Informar al delegado de protección de datos y a la entidad titular.
¿Cómo ayuda PHP SOS en concreto?
- Nos coordinamos con la dirección del colegio, la entidad titular y el docente responsable, y aclaramos quién se responsabiliza de cada sistema.
- Mediante la ayuda inmediata PHP2Shell parcheamos PHP, reiniciamos todos los workers y acreditamos el resultado.
- Examinamos el directorio de datos de Moodle, la base de datos y las cuentas de administrador en busca de rastros de un ataque.
- A continuación asumimos el refuerzo del servidor, para que la plataforma ya no dependa de una sola persona.
Preguntas frecuentes
Nuestro Moodle funciona a través del estado federado. ¿Tenemos que hacer algo?
Si Moodle lo opera de forma centralizada el estado federado (Land) o un instituto estatal, el parche corresponde al operador. Aun así, el colegio debería comprobar si existen además sistemas propios, como la web del colegio o una nube operada por cuenta propia. Estos suelen ser responsabilidad del colegio o de su entidad titular.
¿Basta una actualización de Moodle frente a PHP2Shell?
No. PHP2Shell afecta a PHP en sí, sobre el que funciona Moodle. Hacen falta un PHP parcheado y el reinicio de todos los procesos de PHP. Qué versión de PHP admite su versión de Moodle lo comprueba en los requisitos del sistema en moodle.org.
¿Quién es responsable si hay una filtración de datos en el colegio?
La responsabilidad se reparte, según el estado federado, entre el colegio, la dirección del centro y la entidad titular. Para valorar las obligaciones de notificación, el primer interlocutor es el delegado de protección de datos competente. Las responsabilidades deberían estar aclaradas por escrito antes de un incidente.