# Moodle biztonság a PHP2Shell után: tanulási platformok helyes védelme

> Moodle védelme a PHP2Shell után: PHP ellenőrzése a Szerver > Környezet alatt, cron újraindítása, a moodledata védelme, bővítmények és adminok átnézése.

Forrás: https://phpsos.de/hu/plattformen/moodle/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A Moodle biztonsága a PHP2Shell után a szerver PHP-jától függ, nem a Moodle-tól. Mivel a tanulási platformok diákok, hallgatók és munkatársak adatait dolgozzák fel, a gyors cselekvés fontos. Javítsa a PHP-t a webhez és a cronhoz, indítsa újra az összes folyamatot, és ellenőrizze a `config.php` fájlt, a `moodledata` könyvtárat, a bővítményeket és az admin-fiókokat.

## Mit jelent a PHP2Shell a Moodle-üzemeltetők számára

A Moodle elterjedt az iskoláknál, főiskoláknál, a továbbképzésben és a vállalkozások belső képzésein. A platform neveket, e-mail-címeket, kurzustagságokat, jegyeket, vizsgabeadásokat és fórumhozzászólásokat kezel, az iskoláknál gyakran kiskorúakét. A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül.

A Moodle-szerverek szinte mindig elérhetők az internetről, mert a tanulók otthonról dolgoznak. A BSI (a német Szövetségi Információbiztonsági Hivatal) a 3. riasztási szintnél azonnali frissítést javasol, és ha ez nem lehetséges, a webszerverek átmeneti leválasztását a hálózatról. Az iskoláknak és képzőintézményeknek ez szervezetileg nehéz, de tervezhető. Ágazatspecifikus tudnivalókat az [Informatikai biztonság iskoláknak és képzőintézményeknek](https://phpsos.de/hu/branchen/schulen-bildung/) oldalon talál.

## Moodle biztonság: a PHP-verzió ellenőrzése a webhez és a cronhoz

A **Honlap adminisztráció > Szerver > Környezet** alatt a Moodle ellenőrzi a PHP-verziót és további követelményeket. A Szerver > PHP-info alatt az adminisztrátorok ezenfelül a teljes PHP-adatokat is látják. Mindkettő a webes PHP-t írja le.

A Moodle ezenfelül egy cron-feladatot igényel, amely az `admin/cli/cron.php` fájlt rendszeresen a parancssori PHP-n át futtatja. Ez a verzió eltérhet, és ugyanúgy javítottnak kell lennie. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a backportok gyakran régebbi számot viselnek. Hogy a Moodle-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a moodle.org dokumentációjában ellenőrizheti. Hogyan indítja utána tisztán újra az összes folyamatot, azt a [A PHP-FPM és az összes worker újraindítása](https://phpsos.de/hu/php2shell/php-fpm-neustart/) oldalon találja.

## Könyvtárak és konfiguráció a Moodle-ban

| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
| `config.php` | adatbázis-hozzáférés, `wwwroot`, a `moodledata` útvonala | beszúrt kód, jelszó megváltoztatása gyanú esetén |
| `moodledata/` | fájltároló, beadások, munkamenetek, gyorsítótárak | a dokumentumgyökéren kívül, nincs PHP-fájl |
| `mod/`, `blocks/`, `local/`, `theme/` | tevékenységek, blokkok, helyi bővítmények, dizájnok | ismeretlen vagy módosított bővítmények |
| `admin/cli/` | parancssori szkriptek | csak CLI-ből használhatók |

A Moodle kínál egy beállítást, amely megakadályozza a programútvonalak módosítását a webes felületen át. A `config.php`-ba tartozik, és megnehezíti, hogy egy eltérített admin-fiókon keresztül programokat hívjanak meg a szerveren:

```php
$CFG->preventexecpath = true;
```

Veszélytelen ellenőrzések a parancssorban, a webszerver felhasználójaként:

```bash
# A Moodle saját állapot- és biztonsági ellenőrzéseinek kiírása
php admin/cli/checks.php
php admin/cli/checks.php --type=security
# PHP-fájlok keresése az adatkönyvtárban (az útvonalat igazítsa)
find /pfad/zu/moodledata -type f -name "*.php"
```

> **Fontos:**
> Egy iskolánál vagy főiskolán adatszivárgás gyanúja esetén gyorsan több hely érintett: az iskolavezetés, a fenntartó, az adatvédelmi felelősök és adott esetben a felügyeleti hatóság. Mentse a naplókat 2026. 10. 20-tól, és dokumentáljon minden intézkedést időponttal.

## Bővítmények, admin-fiókok és feltöltések

Egy gyakorlati tanács a tervezéshez: a PHP-frissítések és az újraindítások ne essenek vizsgaidőszakra vagy futó online tesztekre. A Moodle-nak van karbantartási módja, amely előre tájékoztatja a felhasználókat. A PHP2Shell ellen azonban nem véd, mert a karbantartási oldalt is a PHP szolgálja ki.

A Moodle a bővítményekből él: tevékenységek, vizsgaeszközök, videókonferenciák és iskolai adminisztráció kapcsolatai. Minden bővítmény további PHP-kód, és illeszkednie kell a Moodle-verzióhoz. A Honlap adminisztráció alatt a Moodle megjeleníti a mag és a bővítmények elérhető frissítéseit. Távolítsa el teljesen azokat a bővítményeket, amelyeket senki sem használ többé.

Ellenőrizze a honlap-adminisztrátorok listáját és a messzemenő jogú globális szerepköröket. A tanároknak és a kurzuskészítőknek többnyire nincs szükségük globális jogokra. Kapcsolja be a kétfaktoros bejelentkezést legalább az adminisztrátoroknak. A feltöltésekhez megengedett fájltípusokat a lehető legszűkebbre kell fogni; ehhez a [Fájlfeltöltések biztonságos megvalósítása PHP-ban](https://phpsos.de/hu/ratgeber/datei-upload-sicher/) útmutató ad tanácsokat.

## Mit tud egy Moodle-frissítés, és mit nem

Egy Moodle-frissítés lezárja a Moodle hibáit, és gyakran lehetővé teszi az újabb PHP-verziókat. A PHP-t nem javítja, sem a web-, sem a cron-folyamatokat nem indítja újra, és a `moodledata` mappából idegen fájlokat, további adminisztrátorokat és módosított bővítményeket nem távolít el. Azt sem válaszolja meg, hogy a javítás előtti időben szivárogtak-e el adatok.

A Moodle a bejelentkezéseket és műveleteket saját naplókban is rögzíti, amelyeket az adminisztrátorok a Honlap adminisztráció > Jelentések alatt tekinthetnek meg. Keressen ott célzottan feltűnő adminisztrátori bejelentkezéseket, globális szerepkörű új fiókokat és bővítménytelepítéseket 2026. 10. 17. óta. Exportálja ezeket a bejegyzéseket, mielőtt az automatikus tisztítások törölnék a régebbi adatokat. A jelentések kiegészítik a webszerver naplóit, de nem pótolják őket.

## Hogyan segít konkrétan a PHP SOS?

- Tisztázzuk a PHP-ért való felelősséget, és megerősíttetjük a javítási állapotot, valamint a web és a cron újraindítását.
- Minden változtatás előtt mentjük a naplókat, az adatbázist és a `moodledata` könyvtárat.
- Ellenőrizzük a konfigurációt, a bővítményeket, az adminisztrátorokat, a szerepköröket és a feltöltéseket.
- Kívánságra tartósan gondozzuk a platformot a [biztonsági karbantartási szerződés](https://phpsos.de/hu/leistungen/security-wartungsvertrag/) keretében, a tanévhez és a vizsgaidőszakokhoz igazítva.


## Gyakori kérdések

**Érinti a Moodle-t a PHP2Shell?**  
A Moodle-nak nincs új rése, de PHP-n fut. Ha a szerver PHP-ja javítatlan, a PHP-csapat szerint egy támadó bejelentkezés nélkül futtathat kódot. Egy Moodle-frissítés ezen nem változtat.

**Hol látom a Moodle-ban a PHP-verziót?**  
A Honlap adminisztráció > Szerver > Környezet alatt a Moodle a követelményeihez viszonyítva ellenőrzi a PHP-verziót. Hogy be van-e juttatva backport, azt a Moodle nem mutatja; ezt a szerver üzemeltetője erősíti meg.

**Miért kell a moodledatának a webkönyvtáron kívül lennie?**  
Ott vannak a feltöltött fájlok, a beadások, a munkamenetek és a gyorsítótárak. Ha a könyvtár a weben át elérhető, a tartalmak esetleg közvetlenül lekérhetők. A Moodle ezért a dokumentumgyökéren kívüli helyet kíván.

**Ki felel az iskoláknál a PHP-frissítésért?**  
Ez eltérő: az iskolafenntartó, egy tartományi üzem, egy önkormányzati számítóközpont vagy egy szolgáltató. Tisztázza írásban az illetékességet, és erősíttesse meg a javítási állapotot és az újraindítást.

## Források

- [php.net: biztonsági közlemények](https://www.php.net/)
- [Moodle](https://moodle.org/)
- [BSI (a német Szövetségi Információbiztonsági Hivatal)](https://www.bsi.bund.de/)
- [GDPR 33. cikk](https://dsgvo-gesetz.de/art-33-dsgvo/)