Trumpai: Moodle saugumas mokyklose yra apie vaikų ir jaunuolių duomenis, pažymius ir vykstantį mokymą. Pirmiausia išsiaiškinkite, kas eksploatuoja jūsų Moodle: žemė, steigėjas, paslaugų teikėjas ar įsitraukusi mokytoja. Nuo to priklauso, kas pataiso PHP, paleidžia iš naujo ir pateikia įrodymą.
Kokios PHP sistemos veikia mokyklose ir švietimo įstaigose
Dėmesio centre dažnai yra mokymosi platforma Moodle. Prisideda mokyklos svetainė, dažnai ant WordPress ar Joomla, pavadavimų tvarkaraščių įrankiai, laiškų tėvams ir registracijos formos, patalpų bei įrenginių rezervavimo sistemos ir failų saugyklos, tokios kaip Nextcloud. Beveik viskas tai veikia ant PHP.
Privačių švietimo teikėjų, liaudies universitetų (Volkshochschule) ir tęstinio mokymo teikėjų atveju prisideda kursų rezervavimas, dalyvių valdymas ir internetiniai egzaminai. Čia mokymosi platforma dažnai tiesiogiai susieta su sąskaitų išrašymu ir dalyvių duomenimis.
Kokie duomenys yra Moodle ir panašiose sistemose
Mokymosi platformoje yra daugiau nei darbo lapai: mokinių vardai ir klasės, atsiskaitymai, vertinimai ir grįžtamasis ryšys, forumų įrašai, žinutės tarp mokytojų ir besimokančiųjų, o švietimo teikėjų atveju taip pat dalyvavimo pažymėjimai ir egzaminų rezultatai. Pavieniai atvejai rodo specialiųjų poreikių ar sveikatos apribojimų požymius, kurie gali priklausyti specialioms kategorijoms pagal BDAR 9 straipsnį.
Paveikti asmenys daugiausia yra nepilnamečiai. Tai didina riziką nutekėjus duomenims, nes vaikai patys vargu ar gali atsiginti pasekmių, tokių kaip tikslinis kreipimasis ar pažeminimas. Pranešimo pareigoms galioja BDAR 72 valandų terminas, vertinimą atlieka kompetentingas duomenų apsaugos pareigūnas.
Mokykla, Moodle ir sauga: atsakomybės klausimas
| Eksploatavimo modelis | Kas pataiso PHP | Ką mokykla turėtų patikrinti |
|---|---|---|
| Centralizuotai per žemę ar žemės institutą | Žemės eksploatuotojas | nuosavos papildomos mokyklos sistemos |
| Per mokyklos steigėją ar medijų centrą | Steigėjo IT | paprašyti raštiško patvirtinimo |
| Išorinis paslaugų teikėjas | Paslaugų teikėjas pagal sutartį | ar PHP aiškiai nurodytas sutartyje |
| Nuosavas serveris, kurį prižiūri mokytoja ar mokytojas | pati mokykla | laikas, žinios ir pavadavimas |
Paskutinis modelis yra labiau paplitęs, nei daugelis mano. Įsitraukusi mokytoja prieš metus įdiegė Moodle ir prižiūri ją šalia kitų darbų. Esant kritinei spragai tuomet trūksta laiko, pavadavimo ir dažnai teisių, kad būtų galima greitai veikti.
Moodle atnaujinimas PHP2Shell neuždaro. Spraga ištaisyta tik su PHP 8.5.12, 8.4.27, 8.3.36 ar 8.2.35 arba patvirtintu backport, ir tik po visų PHP procesų paleidimo iš naujo.
Ką gedimas reiškia pamokoms ir egzaminams
Jei Moodle neveikia, trūksta medžiagos ir atsiskaitymo galimybių. Egzaminų laikotarpiais ar prieš pažymėjimus tai ypač nepatogu. Vis dėlto galioja: geriau kelioms valandoms tvarkingai išjungti platformą, nei leisti jai veikti nepataisytai. Pažeista sistema gali klastoti atsiskaitymus arba perimti mokytojų paskyras.
Todėl suplanuokite paprastą atsarginį kelią, pavyzdžiui, atsiskaitymą per kitą, nepaveiktą sistemą, ir trumpai informuokite mokytojus, besimokančiuosius ir tėvus apie priežastį.
Po išvalymo verta peržiūrėti paskyras. Mokyklose yra daug naudotojų su išplėstinėmis teisėmis: mokytojai, praktikantai, dalykų skyrių vadovai, buvę kolegos, kurių prieigos niekada nebuvo ištrintos. Nebeprižiūrimos paskyros su mokytojo teisėmis yra patogus kelias atgal į platformą. Palyginimas su aktualiu mokyklos darbuotojų sąrašu uždaro šias duris, o paskyros su administratoriaus teisėmis turėtų būti apribotos keliais asmenimis.
Švietimo teikėjų ir tęstinio mokymo ypatumai
Privatūs švietimo teikėjai, liaudies universitetai ir tęstinio mokymo teikėjai dažnai dirba su suaugusiais dalyviais, bet su daugiau ekonominių duomenų: kursų rezervacijos su mokėjimo duomenimis, sąskaitos įmonių klientams, dokumentai apie remiamas priemones, egzaminų rezultatai ir sertifikatai. Mokymosi platforma čia dažnai susieta su rezervavimo sistema ir buhalterija.
Todėl ataka gali paliesti ir sertifikatus bei egzaminų rezultatus. Kas gali keisti duomenis platformoje, gali suklastoti išlaikymo žymas arba išduoti įrodymus, kurie niekada nebuvo įgyti. Po incidento leiskite patikrinti, ar vertinimai ir sertifikatai nebuvo pakeisti vėliau, ir palyginkite juos su egzaminų dokumentais.
Pirmieji žingsniai mokyklos vadovybei ir steigėjui
- Išsiaiškinti, kas eksploatuoja Moodle, svetainę ir debesį, ir kiekvienai raštu patvirtinti pataisų būseną bei paleidimą iš naujo.
- Nepatvirtintas sistemas perjungti į techninės priežiūros režimą arba atjungti nuo tinklo.
- Leisti išsaugoti žurnalus nuo 2026-10-20.
- Patikrinti administratorių paskyras: ar nėra naujų ar nežinomų administratorių?
- Informuoti duomenų apsaugos pareigūną ir mokyklos steigėją.
Kaip konkrečiai padeda PHP SOS?
- Derinamės su mokyklos vadovybe, steigėju ir prižiūrinčia mokytoja ir išsiaiškiname, kas už kurią sistemą atsakingas.
- Per PHP2Shell skubią pagalbą pataisome PHP, paleidžiame iš naujo visus darbinius procesus (worker) ir įrodome rezultatą.
- Tikriname Moodle duomenų katalogą, duomenų bazę ir administratorių paskyras dėl atakos pėdsakų.
- Po to perimame serverio sutvirtinimą, kad platforma nebepriklausytų nuo vieno asmens.
Dažni klausimai
Mūsų Moodle veikia per žemę. Ar turime ką nors daryti?
Jei Moodle centralizuotai eksploatuoja žemė ar žemės institutas, pataisa yra eksploatuotojo reikalas. Mokykla vis tiek turėtų patikrinti, ar greta yra nuosavų sistemų, pavyzdžiui, mokyklos svetainė ar savarankiškai eksploatuojamas debesis. Jos paprastai yra mokyklos ar jos steigėjo atsakomybė.
Ar Moodle atnaujinimo pakanka nuo PHP2Shell?
Ne. PHP2Shell veikia patį PHP, ant kurio veikia Moodle. Reikia pataisyto PHP ir visų PHP procesų paleidimo iš naujo. Kokią PHP versiją palaiko jūsų Moodle versija, patikrinkite sistemos reikalavimuose moodle.org.
Kas atsakingas, jei mokykloje nutekėjo duomenys?
Atsakomybė pagal federalinę žemę pasiskirsto tarp mokyklos, mokyklos vadovybės ir steigėjo. Pranešimo pareigų vertinimui pirmasis adresas yra kompetentingas duomenų apsaugos pareigūnas. Atsakomybės turėtų būti raštu išaiškintos prieš incidentą.