En bref : la sécurité de Moodle dans les écoles concerne les données d'enfants et d'adolescents, les notes et l'enseignement en cours. Clarifiez d'abord qui exploite votre Moodle : le Land, l'organisme gestionnaire, un prestataire ou un enseignant engagé. C'est de cela que dépend qui applique le correctif PHP, redémarre et fournit le justificatif.
Quels systèmes PHP fonctionnent dans les écoles et les établissements de formation
Au centre se trouve souvent la plateforme d'apprentissage Moodle. S'y ajoutent le site de l'école, fréquemment sous WordPress ou Joomla, des outils pour les plannings de remplacement, des formulaires de courriers aux parents et d'inscription, des systèmes de réservation de salles et d'appareils ainsi que des espaces de stockage de fichiers comme Nextcloud. Presque tout cela fonctionne sur PHP.
Chez les organismes de formation privés, les universités populaires et les prestataires de formation continue s'ajoutent la réservation de cours, la gestion des participants et les examens en ligne. Ici, la plateforme d'apprentissage est souvent directement liée à la facturation et aux données des participants.
Quelles données se trouvent dans Moodle et consorts
Une plateforme d'apprentissage contient plus que des fiches de travail : noms et classes des élèves, devoirs rendus, évaluations et retours, contributions aux forums, messages entre enseignants et apprenants et, chez les organismes de formation, aussi des attestations de participation et des résultats d'examens. Çà et là figurent des indications sur des besoins éducatifs particuliers ou des limitations de santé, qui peuvent relever des catégories particulières au sens de l'art. 9 du RGPD.
Les personnes concernées sont majoritairement mineures. Cela accroît le risque en cas de fuite de données, car les enfants peuvent difficilement se défendre eux-mêmes contre des conséquences comme un démarchage ciblé ou l'humiliation. Pour les obligations de notification s'applique le délai de 72 heures du RGPD ; l'évaluation revient au délégué à la protection des données compétent.
École, Moodle et sécurité : la question de la responsabilité
| Modèle d'exploitation | Qui corrige PHP | Ce que l'école devrait vérifier |
|---|---|---|
| De façon centralisée par le Land ou un institut du Land | Exploitant du Land | systèmes complémentaires propres de l'école |
| Via l'organisme gestionnaire ou un centre multimédia | Informatique de l'organisme | demander une confirmation écrite |
| Prestataire externe | Prestataire selon le contrat | si PHP figure expressément dans le contrat |
| Serveur propre, suivi par un enseignant | l'école elle-même | temps, savoir-faire et suppléance |
Le dernier modèle est plus répandu que beaucoup ne le pensent. Un enseignant engagé a installé Moodle il y a des années et l'entretient en plus de son travail. En cas de faille critique, le temps, la suppléance et souvent aussi les droits pour agir rapidement font défaut.
Une mise à jour de Moodle ne ferme pas PHP2Shell. La faille n'est corrigée qu'avec PHP 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 ou avec un backport confirmé, et seulement après le redémarrage de tous les processus PHP.
Ce qu'une panne signifie pour les cours et les examens
Si Moodle tombe en panne, le matériel et les possibilités de rendre les devoirs manquent. En période d'examens ou juste avant les bulletins, c'est particulièrement délicat. Il vaut néanmoins mieux désactiver une plateforme de manière ordonnée pendant quelques heures que la laisser fonctionner sans correctif. Un système compromis peut falsifier des devoirs rendus ou prendre le contrôle de comptes d'enseignants.
Prévoyez donc une voie de remplacement simple, par exemple la remise des devoirs via un autre système non concerné, et informez brièvement enseignants, apprenants et parents de la raison.
Après un nettoyage, un coup d'œil sur les comptes vaut la peine. Les écoles ont de nombreux utilisateurs aux droits étendus : enseignants, stagiaires, responsables de matières, anciens collègues dont les accès n'ont jamais été supprimés. Les comptes orphelins avec des droits d'enseignant sont un chemin commode pour revenir dans la plateforme. Un rapprochement avec la liste actuelle du personnel de l'école ferme cette porte, et les comptes avec droits d'administrateur devraient être limités à peu de personnes.
Particularités des organismes de formation et de la formation continue
Les organismes de formation privés, les universités populaires et les prestataires de formation continue travaillent souvent avec des participants adultes, mais avec davantage de données économiques : réservations de cours avec données de paiement, factures à des entreprises clientes, documents sur des mesures subventionnées, résultats d'examens et certificats. La plateforme d'apprentissage est ici fréquemment reliée au système de réservation et à la comptabilité.
Une attaque peut donc aussi toucher des certificats et des résultats d'examens. Quiconque peut modifier des données dans la plateforme peut falsifier des mentions de réussite ou délivrer des attestations jamais obtenues. Après un incident, faites vérifier si des évaluations et des certificats ont été modifiés après coup, et comparez-les à vos documents d'examen.
Premières étapes pour la direction de l'école et l'organisme gestionnaire
- Clarifier qui exploite Moodle, le site web et le cloud, et faire confirmer par écrit pour chacun l'état des correctifs et le redémarrage.
- Mettre en mode maintenance ou déconnecter du réseau les systèmes non confirmés.
- Faire sauvegarder les journaux à partir du 20 octobre 2026.
- Vérifier les comptes administrateur : y a-t-il des administrateurs nouveaux ou inconnus ?
- Informer le délégué à la protection des données et l'organisme gestionnaire.
Comment PHP SOS aide-t-il concrètement ?
- Nous nous concertons avec la direction de l'école, l'organisme gestionnaire et l'enseignant référent et clarifions qui est responsable de quel système.
- Via l'aide immédiate PHP2Shell, nous corrigeons PHP, redémarrons tous les workers et justifions le résultat.
- Nous vérifions le répertoire de données de Moodle, la base de données et les comptes administrateur à la recherche de traces d'une attaque.
- Ensuite, nous prenons en charge le durcissement du serveur, afin que la plateforme ne dépende plus d'une seule personne.
Questions fréquentes
Notre Moodle fonctionne via le Land. Devons-nous faire quelque chose ?
Si Moodle est exploité de façon centralisée par le Land (État fédéré allemand) ou par un institut du Land, le correctif relève de l'exploitant. L'école devrait néanmoins vérifier s'il existe à côté des systèmes propres, par exemple le site de l'école ou un cloud exploité en interne. Ceux-ci relèvent le plus souvent de la responsabilité de l'école ou de l'organisme gestionnaire.
Une mise à jour de Moodle suffit-elle contre PHP2Shell ?
Non. PHP2Shell concerne PHP lui-même, sur lequel fonctionne Moodle. Il faut un PHP corrigé et le redémarrage de tous les processus PHP. Quelle version de PHP votre version de Moodle prend en charge, vous le vérifiez dans la configuration requise sur moodle.org.
Qui est responsable en cas de fuite de données dans l'école ?
La responsabilité se répartit, selon le Land, entre l'école, la direction de l'école et l'organisme gestionnaire. Pour évaluer les obligations de notification, le délégué à la protection des données compétent est le premier interlocuteur. Les responsabilités devraient être clarifiées par écrit avant un incident.