Röviden: Az iskolák Moodle-biztonságánál gyermekek és fiatalok adatairól, jegyekről és a folyó oktatásról van szó. Először tisztázza, ki üzemelteti a Moodle-ét: a tartomány, az iskolafenntartó, egy szolgáltató vagy egy elkötelezett pedagógus. Ettől függ, ki javítja a PHP-t, ki indítja újra, és ki szolgáltatja az igazolást.
Milyen PHP-rendszerek futnak iskolákban és oktatási intézményekben
Gyakran a Moodle tanulási platform áll a középpontban. Ehhez jön az iskolai honlap, gyakran WordPressen vagy Joomlán, a helyettesítési rendek eszközei, a szülői levél- és jelentkezési űrlapok, a termek és eszközök foglalási rendszerei, valamint olyan fájltárolók, mint a Nextcloud. Ezek szinte mind PHP-n futnak.
A magán oktatási szolgáltatóknál, népfőiskoláknál és továbbképzési szolgáltatóknál kurzusfoglalás, résztvevőnyilvántartás és online vizsgák is vannak. Itt a tanulási platform gyakran közvetlenül kapcsolódik a számlázáshoz és a résztvevők adataihoz.
Milyen adatok vannak a Moodle-ben és társaiban
Egy tanulási platform többet tartalmaz munkalapoknál: diákok nevét és osztályát, beadott munkákat, értékeléseket és visszajelzéseket, fórumhozzászólásokat, pedagógusok és tanulók közötti üzeneteket, az oktatási szolgáltatóknál részvételi igazolásokat és vizsgaeredményeket is. Elvétve támogatási szükségletre vagy egészségügyi korlátozásokra utaló jelzések is előfordulnak, amelyek a GDPR 9. cikke szerinti különleges kategóriákba tartozhatnak.
Az érintettek túlnyomórészt kiskorúak. Ez adatszivárgásnál növeli a kockázatot, mert a gyermekek az olyan következményeket, mint a célzott megszólítás vagy a megszégyenítés, aligha tudják maguk elhárítani. A bejelentési kötelezettségekre a GDPR 72 órás határideje érvényes, az értékelést az illetékes adatvédelmi felelős végzi.
Iskola, Moodle és biztonság: a felelősség kérdése
| Üzemeltetési modell | Ki javítja a PHP-t | Mit érdemes ellenőriznie az iskolának |
|---|---|---|
| Központilag a tartomány vagy tartományi intézet | a tartomány üzemeltetője | az iskola saját kiegészítő rendszerei |
| Az iskolafenntartón vagy médiaközponton keresztül | a fenntartó IT-ja | írásos igazolás kérése |
| Külső szolgáltató | a szolgáltató a szerződés szerint | szerepel-e a PHP kifejezetten a szerződésben |
| Saját szerver, pedagógus gondozásában | maga az iskola | idő, tudás és helyettesítés |
Az utolsó modell elterjedtebb, mint sokan gondolják. Egy elkötelezett pedagógus évekkel ezelőtt felállította a Moodle-t, és mellékesen gondozza. Egy kritikus résnél ilyenkor hiányzik az idő, a helyettesítés, és gyakran a jogosultság is a gyors cselekvéshez.
A Moodle frissítése nem zárja le a PHP2Shell-t. A rés csak a PHP 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzióval, vagy egy igazolt backporttal, és az összes PHP-folyamat újraindítása után van megszüntetve.
Mit jelent egy kiesés az oktatásra és a vizsgákra
Ha a Moodle kiesik, hiányoznak az anyagok és a beadási lehetőségek. Vizsgaidőszakban vagy a bizonyítványok előtt ez különösen kényes. Ennek ellenére érvényes: inkább kapcsoljon le egy platformot rendezetten néhány órára, mint hogy javítatlanul tovább fusson. Egy feltört rendszer meghamisíthatja a beadott munkákat, vagy átveheti a pedagógusok fiókjait.
Tervezzen ezért egy egyszerű pótutat, például a beadást egy másik, nem érintett rendszeren keresztül, és röviden tájékoztassa az okról a pedagógusokat, a tanulókat és a szülőket.
A tisztítás után érdemes megnézni a fiókokat. Az iskoláknak sok kibővített jogú felhasználójuk van: pedagógusok, gyakornokok, tantárgyi vezetők, volt kollégák, akiknek a hozzáférését soha nem törölték. Az árván maradt, tanári jogú fiókok kényelmes visszaút a platformba. Az iskola aktuális személyzeti listájával való összevetés bezárja ezt az ajtót, és az adminisztrátori jogú fiókokat néhány személyre kell korlátozni.
Az oktatási szolgáltatók és a továbbképzés sajátosságai
A magán oktatási szolgáltatók, népfőiskolák és továbbképzési szolgáltatók gyakran felnőtt résztvevőkkel dolgoznak, ám több gazdasági adattal: kurzusfoglalások fizetési adatokkal, céges ügyfeleknek szóló számlák, támogatott intézkedések iratai, vizsgaeredmények és tanúsítványok. A tanulási platform itt gyakran össze van kötve a foglalási rendszerrel és a könyveléssel.
Egy támadás ezért tanúsítványokat és vizsgaeredményeket is érinthet. Aki a platformban adatokat tud módosítani, az meghamisíthat teljesítési bejegyzéseket, vagy olyan igazolásokat állíthat ki, amelyeket soha nem szereztek meg. Egy incidens után ellenőriztesse, hogy az értékeléseket és tanúsítványokat utólag módosították-e, és vesse össze őket a vizsgairatokkal.
Első lépések az iskolavezetésnek és a fenntartónak
- Tisztázza, ki üzemelteti a Moodle-t, a honlapot és a felhőt, és mindegyiknél igazoltassa írásban a javítási állapotot és az újraindítást.
- A nem igazolt rendszereket tegye karbantartási módba, vagy kapcsolja le a hálózatról.
- Mentesse a naplókat 2026. 10. 20-tól.
- Ellenőrizze az adminisztrátori fiókokat: vannak-e új vagy ismeretlen adminisztrátorok?
- Tájékoztassa az adatvédelmi felelőst és az iskolafenntartót.
Hogyan segít konkrétan a PHP SOS?
- Egyeztetünk az iskolavezetéssel, a fenntartóval és a gondozó pedagógussal, és tisztázzuk, ki melyik rendszerért felel.
- A PHP2Shell azonnali segítség keretében javítjuk a PHP-t, újraindítjuk az összes workert, és igazoljuk az eredményt.
- Ellenőrizzük a Moodle adatkönyvtárát, az adatbázist és az adminisztrátori fiókokat támadás nyomai szempontjából.
- Ezután átvesszük a szerver megerősítését, hogy a platform ne függjön többé egyetlen személytől.
Gyakori kérdések
A mi Moodle-ünk a tartományon keresztül fut. Kell tennünk valamit?
Ha a Moodle-t központilag a tartomány vagy egy tartományi intézet üzemelteti, a javítás az üzemeltetőnél van. Az iskolának ennek ellenére ellenőriznie kell, vannak-e emellett saját rendszerei, például az iskolai honlap vagy egy saját üzemeltetésű felhő. Ezek többnyire az iskola vagy az iskolafenntartó felelősségi körébe tartoznak.
Elég a Moodle frissítése a PHP2Shell ellen?
Nem. A PHP2Shell magát a PHP-t érinti, amelyen a Moodle fut. Javított PHP-ra és az összes PHP-folyamat újraindítására van szükség. Hogy a Moodle-verziója melyik PHP-verziót támogatja, azt a moodle.org rendszerkövetelményeiben ellenőrizheti.
Ki a felelős, ha adatszivárgás történik az iskolában?
A felelősség tartományonként eltérően oszlik meg az iskola, az iskolavezetés és az iskolafenntartó között. A bejelentési kötelezettségek értékeléséhez az illetékes adatvédelmi felelős az első cím. A hatásköröket egy incidens előtt írásban kell tisztázni.