# Moodlen tietoturva kouluille ja koulutusorganisaatioille

> Moodle, koulun kotisivu, koulupilvi: näin koulut ja koulutusorganisaatiot vastaavat PHP2Shelliin, suojaavat oppilastiedot ja selvittävät vastuut.

Lähde: https://phpsos.de/fi/branchen/schulen-bildung/  
Tilanne: 25.10.2026  
Palveluntarjoaja: PHP SOS, PHP-hätäapu ja palvelimen tietoturva. Pikaapu WhatsAppilla: https://wa.me/491736494914?text=Hei%20PHP%20SOS%2C%20tarvitsemme%20apua%20PHP-palvelimemme%20kanssa.%20Yritys%3A%20%E2%80%A6%20Verkkosivusto%3A%20%E2%80%A6

**Lyhyesti:** Moodlen tietoturvassa kouluissa on kyse lasten ja nuorten tiedoista, arvosanoista ja käynnissä olevasta opetuksesta. Selvittäkää ensin, kuka Moodlenne ylläpitää: osavaltio, koulun ylläpitäjä, palveluntarjoaja vai innokas opettaja. Siitä riippuu, kuka korjaa PHP:n, käynnistää sen uudelleen ja toimittaa todistuksen.

## Mitä PHP-järjestelmiä kouluissa ja koulutuslaitoksissa on käytössä

Keskiössä on usein oppimisympäristö [Moodle](https://phpsos.de/fi/plattformen/moodle/). Lisäksi koulun kotisivu, usein WordPressillä tai Joomlalla, sijaisjärjestelyjen työkalut, vanhempainkirjeiden ja ilmoittautumisten lomakkeet, tilojen ja laitteiden varausjärjestelmät sekä tiedostotallennustilat kuten [Nextcloud](https://phpsos.de/fi/plattformen/nextcloud/). Lähes kaikki tämä toimii PHP:llä.

Yksityisillä koulutusorganisaatioilla, kansalaisopistoilla ja täydennyskoulutuksen tarjoajilla mukaan tulevat kurssivaraukset, osallistujahallinto ja verkkokokeet. Täällä oppimisympäristö on usein suoraan yhteydessä laskutukseen ja osallistujatietoihin.

## Mitä tietoja Moodlessa ja vastaavissa on

Oppimisympäristössä on enemmän kuin työarkkeja: oppilaiden nimet ja luokat, palautukset, arvioinnit ja palaute, foorumikirjoitukset, viestit opettajien ja oppijoiden välillä, koulutusorganisaatioilla myös osallistumistodistukset ja koetulokset. Yksittäin löytyy merkintöjä tuen tarpeesta tai terveydellisistä rajoitteista, jotka voivat kuulua GDPR:n 9 artiklan mukaisiin erityisiin tietoryhmiin.

Rekisteröidyt ovat pääosin alaikäisiä. Se lisää riskiä tietovuodossa, koska lapset eivät juuri itse pysty torjumaan seurauksia, kuten kohdennettua lähestymistä tai nolaamista. Ilmoitusvelvollisuuksiin sovelletaan [GDPR:n 72 tunnin määräaikaa](https://phpsos.de/fi/compliance/dsgvo-meldepflicht-72-stunden/), arvion tekee toimivaltainen tietosuojavastaava.

## Koulu, Moodle ja tietoturva: vastuukysymys

| Käyttömalli | Kuka korjaa PHP:n | Mitä koulun kannattaa tarkistaa |
|---|---|---|
| Keskitetysti osavaltion tai osavaltion laitoksen kautta | Osavaltion ylläpitäjä | koulun omat lisäjärjestelmät |
| Koulun ylläpitäjän tai mediakeskuksen kautta | Ylläpitäjän IT | pyytäkää kirjallinen vahvistus |
| Ulkopuolinen palveluntarjoaja | Palveluntarjoaja sopimuksen mukaan | onko PHP nimenomaisesti sopimuksessa |
| Oma palvelin, jota opettaja ylläpitää | koulu itse | aika, osaaminen ja sijaisuus |

Viimeinen malli on yleisempi kuin moni ajattelee. Innokas opettaja on pystyttänyt Moodlen vuosia sitten ja ylläpitää sitä sivutoimisesti. Kriittisen haavoittuvuuden kohdalla aikaa, sijaista ja usein myös oikeuksia nopeaan toimintaan ei silloin ole.

> **Tärkeää:**
> Moodlen päivitys ei sulje PHP2Shelliä. Haavoittuvuus on korjattu vasta versioissa PHP 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai vahvistetulla backportilla, ja vasta kaikkien PHP-prosessien uudelleenkäynnistyksen jälkeen.

## Mitä katkos tarkoittaa opetukselle ja kokeille

Jos Moodle kaatuu, materiaali ja palautusmahdollisuudet puuttuvat. Koejaksoilla tai juuri ennen todistuksia se on erityisen arkaluonteista. Silti pätee: parempi sulkea alusta joksikin tunniksi hallitusti kuin antaa sen jatkaa korjaamattomana. Vaarantunut järjestelmä voi väärentää palautuksia tai kaapata opettajien tilejä.

Suunnitelkaa siksi yksinkertainen vaihtoehtoinen reitti, esimerkiksi palautus toisen, vaarantumattoman järjestelmän kautta, ja kertokaa opettajille, oppijoille ja vanhemmille lyhyesti syy.

Puhdistuksen jälkeen kannattaa tarkistaa tilit. Kouluissa on paljon käyttäjiä, joilla on laajennetut oikeudet: opettajat, harjoittelijat, oppiaineryhmien johtajat, entiset työntekijät, joiden tunnuksia ei ole koskaan poistettu. Orvot tilit opettajan oikeuksilla ovat kätevä tie takaisin alustalle. Vertailu koulun nykyiseen henkilöstöluetteloon sulkee tämän oven, ja ylläpitäjäoikeuksilliset tilit tulisi rajoittaa muutamaan henkilöön.

## Koulutusorganisaatioiden ja täydennyskoulutuksen erityispiirteet

Yksityiset koulutusorganisaatiot, kansalaisopistot ja täydennyskoulutuksen tarjoajat työskentelevät usein aikuisten osallistujien kanssa, mutta käsittelevät enemmän taloudellisia tietoja: kurssivaraukset maksutietoineen, laskut yritysasiakkaille, tuettujen toimenpiteiden asiakirjat, koetulokset ja todistukset. Oppimisympäristö on täällä usein yhteydessä varausjärjestelmään ja kirjanpitoon.

Hyökkäys voi siksi koskea myös todistuksia ja koetuloksia. Joka pystyy muuttamaan alustan tietoja, voi väärentää hyväksymismerkintöjä tai antaa todistuksia, joita ei ole koskaan ansaittu. Teettäkää tapauksen jälkeen tarkistus siitä, onko arviointeja ja todistuksia muutettu jälkikäteen, ja verratkaa niitä koeasiakirjoihinne.

## Ensiaskeleet rehtorille ja ylläpitäjälle

1. Selvittäkää, kuka ylläpitää Moodlea, kotisivua ja pilveä, ja pyytäkää kustakin korjaustila ja uudelleenkäynnistys kirjallisena.
2. Asettakaa vahvistamattomat järjestelmät huoltotilaan tai ottakaa pois verkosta.
3. Teettäkää lokien varmistus 20.10.2026 alkaen.
4. Tarkistakaa ylläpitäjätilit: onko uusia tai tuntemattomia ylläpitäjiä?
5. Informoikaa tietosuojavastaavaa ja koulun ylläpitäjää.

## Miten PHP SOS auttaa konkreettisesti?

- Sovitamme työn rehtorin, ylläpitäjän ja huoltavan opettajan kanssa ja selvitämme, kuka vastaa mistäkin järjestelmästä.
- [PHP2Shell-pikaavun](https://phpsos.de/fi/leistungen/php2shell-soforthilfe/) kautta korjaamme PHP:n, käynnistämme kaikki worker-prosessit uudelleen ja todennamme tuloksen.
- Tarkistamme Moodlen datahakemiston, tietokannan ja ylläpitäjätilit hyökkäyksen jälkien varalta.
- Sen jälkeen hoidamme [palvelimen koventamisen](https://phpsos.de/fi/leistungen/server-haertung/), jotta alusta ei enää riipu yhdestä henkilöstä.


## Usein kysytyt kysymykset

**Moodlemme toimii osavaltion kautta. Onko meidän tehtävä jotain?**  
Jos Moodlea ylläpitää keskitetysti osavaltio tai osavaltion laitos, korjaus on ylläpitäjän vastuulla. Koulun kannattaa silti tarkistaa, onko sen omia järjestelmiä lisäksi, esimerkiksi koulun kotisivu tai itse ylläpidetty pilvi. Ne ovat yleensä koulun tai koulun ylläpitäjän vastuulla.

**Riittääkö Moodlen päivitys PHP2Shelliä vastaan?**  
Ei. PHP2Shell koskee PHP:tä itseään, jolla Moodle toimii. Tarvitaan korjattu PHP ja kaikkien PHP-prosessien uudelleenkäynnistys. Mitä PHP-versiota Moodle-versionne tukee, tarkistatte moodle.orgin järjestelmävaatimuksista.

**Kuka vastaa koulun tietovuodosta?**  
Vastuu jakautuu osavaltiosta riippuen koulun, rehtorin ja koulun ylläpitäjän (Schulträger) kesken. Ilmoitusvelvollisuuksien arvioinnissa ensimmäinen osoite on toimivaltainen tietosuojavastaava. Vastuut tulisi sopia kirjallisesti ennen poikkeamaa.

## Lähteet

- [php.net: tietoturvatiedotteet](https://www.php.net/)
- [BSI: varoitukset ja suositukset](https://www.bsi.bund.de/)
- [GDPR art. 33: ilmoitus valvontaviranomaiselle](https://dsgvo-gesetz.de/art-33-dsgvo/)