Fil-qosor: Fis-sigurtà ta' Moodle fl-iskejjel jiddependu data ta' tfal u żgħażagħ, il-gradi u t-tagħlim li għaddej. Iċċaraw l-ewwel min iħaddem il-Moodle tagħkom: il-Land, l-entità sponsorjanti tal-iskola, fornitur jew għalliem impenjat. Minn dan jiddependi min jipatchja lil PHP, jerġa' jibdieh u jagħti l-prova.
Liema sistemi tal-PHP jaħdmu fl-iskejjel u fl-istituzzjonijiet edukattivi
Fiċ-ċentru spiss insibu l-pjattaforma tat-tagħlim Moodle. Barra minn hekk hemm il-websajt tal-iskola, ħafna drabi fuq WordPress jew Joomla, għodod għall-pjanijiet ta' sostituzzjoni, formoli ta' ittri lill-ġenituri u ta' reġistrazzjoni, sistemi ta' prenotazzjoni għal kmamar u apparat kif ukoll ħażniet tal-fajls bħal Nextcloud. Kważi dan kollu jaħdem fuq PHP.
Għal fornituri privati tal-edukazzjoni, universitajiet popolari (Volkshochschulen) u fornituri tat-taħriġ kontinwu jiżdiedu l-prenotazzjoni tal-kors, l-amministrazzjoni tal-parteċipanti u l-eżamijiet online. Hawnhekk il-pjattaforma tat-tagħlim ħafna drabi hija marbuta direttament mal-fatturazzjoni u mad-data tal-parteċipanti.
Liema data tinsab f'Moodle u sistemi simili
Pjattaforma tat-tagħlim fiha aktar minn fuljetti tax-xogħol: ismijiet u klassijiet tal-istudenti, sottomissjonijiet, evalwazzjonijiet u feedback, kontributi fil-forums, messaġġi bejn għalliema u studenti, u għand il-fornituri tal-edukazzjoni wkoll ċertifikati ta' parteċipazzjoni u riżultati tal-eżamijiet. B'mod iżolat insibu indikazzjonijiet ta' bżonnijiet ta' appoġġ jew limitazzjonijiet tas-saħħa, li jistgħu jagħmlu parti mill-kategoriji speċjali skont l-Art. 9 GDPR.
Il-persuni affettwati huma l-aktar minorenni. Dan iżid ir-riskju f'każ ta' tnixxija ta' data, għax it-tfal bilkemm jistgħu jiddefendu rwieħhom minn konsegwenzi bħal approċċ immirat jew umiljazzjoni. Għall-obbligi ta' notifika japplika t-terminu ta' 72 siegħa tal-GDPR, u l-valutazzjoni tagħmilha l-uffiċjal kompetenti tal-protezzjoni tad-data.
Skola, Moodle u sigurtà: il-kwistjoni tar-responsabbiltà
| Mudell ta' tħaddim | Min jipatchja lil PHP | X'għandha tivverifika l-iskola |
|---|---|---|
| Ċentralment mill-Land jew minn istitut tal-Land | Operatur tal-Land | sistemi addizzjonali proprji tal-iskola |
| Permezz tal-entità sponsorjanti tal-iskola jew ċentru tal-midja | IT tal-entità sponsorjanti | titlob konferma bil-miktub |
| Fornitur estern | Il-fornitur skont il-kuntratt | jekk PHP jissemmiex espressament fil-kuntratt |
| Server proprju, miżmum minn għalliem | l-iskola stess | ħin, għarfien u sostituzzjoni |
L-aħħar mudell huwa aktar mifrux milli jaħsbu ħafna. Għalliem impenjat waqqaf Moodle snin ilu u jżommu bħala xogħol sekondarju. F'vulnerabbiltà kritika imbagħad jonqsu l-ħin, is-sostitut u spiss ukoll id-drittijiet biex jaġixxi malajr.
Aġġornament ta' Moodle ma jagħlaqx PHP2Shell. Il-vulnerabbiltà tkun mirquma biss b'PHP 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 jew b'backport ikkonfermat, u biss wara r-restart tal-proċessi PHP kollha.
X'jfisser falliment għat-tagħlim u għall-eżamijiet
Jekk Moodle jaqa', jonqsu l-materjal u l-possibilitajiet ta' sottomissjoni. F'perjodi ta' eżamijiet jew ftit qabel iċ-ċertifikati dan huwa partikolarment delikat. Madankollu japplika: aħjar tqiegħdu l-pjattaforma offline b'mod ordnat għal ftit sigħat milli tħalluha taħdem mhux ippatchjata. Sistema kompromessa tista' tfalsifika sottomissjonijiet jew tieħu f'idejha kontijiet ta' għalliema.
Ippjanaw għalhekk mogħdija alternattiva sempliċi, pereżempju s-sottomissjoni permezz ta' sistema oħra mhux affettwata, u informaw lill-għalliema, lill-istudenti u lill-ġenituri fil-qosor dwar ir-raġuni.
Wara t-tindif jixraq li tħarsu lejn il-kontijiet. L-iskejjel għandhom ħafna utenti b'drittijiet estiżi: għalliema, għalliema taħt taħriġ, kapijiet ta' dipartiment, kollegi ta' qabel li l-aċċessi tagħhom ma tħassrux qatt. Kontijiet orfni b'drittijiet ta' għalliem huma mogħdija komda lura għall-pjattaforma. Paragun mal-lista attwali tal-persunal tal-iskola jagħlaq dan il-bieb, u l-kontijiet b'drittijiet ta' amministratur għandhom ikunu limitati għal ftit persuni.
Partikolaritajiet għall-fornituri tal-edukazzjoni u t-taħriġ kontinwu
Fornituri privati tal-edukazzjoni, universitajiet popolari u fornituri tat-taħriġ kontinwu ħafna drabi jaħdmu ma' parteċipanti adulti, imma b'aktar data ekonomika: prenotazzjonijiet tal-korsijiet b'data tal-ħlas, fatturi lill-klijenti korporattivi, dokumenti dwar miżuri sussidjati, riżultati tal-eżamijiet u ċertifikati. Il-pjattaforma tat-tagħlim hawnhekk ħafna drabi hija marbuta mas-sistema tal-prenotazzjoni u mal-kontabilità.
Attakk jista' għalhekk jolqot ukoll ċertifikati u riżultati tal-eżamijiet. Min jista' jibdel id-data fil-pjattaforma jista' jfalsifika noti ta' suċċess jew joħroġ provi li qatt ma nkisbu. Wara inċident ħallu jiġi vverifikat jekk evalwazzjonijiet u ċertifikati ġewx mibdula wara, u pparagunawhom mad-dokumenti tal-eżamijiet tagħkom.
L-ewwel passi għad-direzzjoni tal-iskola u għall-entità sponsorjanti
- Iċċaraw min iħaddem Moodle, il-websajt u l-cloud, u ħallu jikkonfermawlkom bil-miktub l-istat tal-patch u r-restart għal kull wieħed.
- Poġġu s-sistemi mhux ikkonfermati f'modalità ta' manutenzjoni jew neħħuhom min-netwerk.
- Ħallu jinżammu l-logs mill-20/10/2026 'il quddiem.
- Iċċekkjaw il-kontijiet tal-amministraturi: hemm amministraturi ġodda jew mhux magħrufa?
- Informaw lill-uffiċjal tal-protezzjoni tad-data u lill-entità sponsorjanti tal-iskola.
Kif tgħin PHP SOS b'mod konkret?
- Niftehmu mad-direzzjoni tal-iskola, mal-entità sponsorjanti u mal-għalliem li jieħu ħsieb il-pjattaforma, u niċċaraw min huwa responsabbli għal liema sistema.
- Permezz tal-għajnuna immedjata għal PHP2Shell nipatchjaw lil PHP, nerġgħu nibdew il-workers kollha u nipprovaw ir-riżultat.
- Neżaminaw id-direttorju tad-data ta' Moodle, id-database u l-kontijiet tal-amministraturi għal traċċi ta' attakk.
- Wara nieħdu f'idejna it-tisħiħ tas-server, biex il-pjattaforma ma tibqax tiddependi minn persuna waħda.
Mistoqsijiet frekwenti
Il-Moodle tagħna taħdem permezz tal-Land (stat federali Ġermaniż). Għandna nagħmlu xi ħaġa?
Jekk Moodle jitħaddem b'mod ċentrali mill-Land jew minn istitut tal-Land, il-patch jaqa' għand l-operatur. L-iskola madankollu għandha tivverifika jekk hemmx sistemi proprji oħra, bħall-websajt tal-iskola jew cloud imħaddma waħedha. Dawn ġeneralment jaqgħu taħt ir-responsabbiltà tal-iskola jew tal-entità sponsorjanti tal-iskola.
Aġġornament ta' Moodle huwa biżżejjed kontra PHP2Shell?
Le. PHP2Shell jaffettwa lil PHP innifsu, li fuqu jaħdem Moodle. Hemm bżonn PHP ippatchjat u r-restart tal-proċessi PHP kollha. Liema verżjoni ta' PHP tappoġġja l-verżjoni tagħkom ta' Moodle tivverifikawh fir-rekwiżiti tas-sistema fuq moodle.org.
Min huwa responsabbli f'każ ta' tnixxija ta' data fl-iskola?
Ir-responsabbiltà tinqasam, skont il-Land, bejn l-iskola, id-direzzjoni tal-iskola u l-entità sponsorjanti tal-iskola. Għall-valutazzjoni tal-obbligi ta' notifika l-uffiċjal tal-protezzjoni tad-data kompetenti huwa l-ewwel indirizz. Ir-responsabbiltajiet għandhom jiġu ċċarati bil-miktub qabel inċident.