Moodle : le CERT-FR alerte sur 7 vulnérabilités critiques — RCE, SQLi et CSRF exposent vos données d'apprentissage

Le CERT-FR a publié le 29 avril 2026 un avis signalant sept vulnérabilités critiques dans Moodle, la plateforme LMS utilisée par des millions d'apprenants en Europe. Exécution de code à distance, injection SQL, CSRF : pour les organisations qui traitent des données personnelles via Moodle, la fenêtre d'action avant une éventuelle violation de données est étroite.

Ce qui s'est passé

Le 29 avril 2026, le CERT-FR (rattaché à l'ANSSI) a publié l'avis CERTFR-2026-AVI-0508 signalant de multiples vulnérabilités critiques dans Moodle, la plateforme open source de gestion de l'apprentissage (LMS) la plus utilisée au monde. Sept bulletins de sécurité distincts ont été émis par l'éditeur le même jour, couvrant un panel de failles parmi les plus sérieuses qui soient.

Les risques identifiés sont particulièrement graves :

• Exécution de code arbitraire à distance (RCE) — un attaquant non authentifié peut potentiellement prendre le contrôle du serveur
• Injection SQL (SQLi) — accès direct aux bases de données et aux données personnelles stockées
• Injection de requêtes illégitimes par rebond (CSRF) — manipulation d'actions au nom d'utilisateurs légitimes
• Contournement de la politique de sécurité

Les versions affectées couvrent l'ensemble des branches actives : Moodle 4.5.x antérieures à 4.5.11, 5.0.x antérieures à 5.0.7 et 5.1.x antérieures à 5.1.4. Sept CVE sont associées à cet avis : CVE-2025-14761, CVE-2026-24765, CVE-2026-7274 à CVE-2026-7278.

Pourquoi c'est important pour les DPO

Moodle est massivement déployé dans les établissements d'enseignement supérieur, les organismes de formation professionnelle, les collectivités territoriales et les grandes entreprises. La plateforme traite en permanence des catégories de données personnelles sensibles : noms, prénoms, adresses email, données de connexion, résultats d'évaluation, parfois des données de santé dans les contextes de formation médicale ou paramédicale.

Une exploitation réussie de la faille RCE ou SQLi signifie concrètement la compromission de l'intégralité de la base de données Moodle — et donc une violation de données personnelles au sens de l'article 32 du RGPD (obligation de sécurité du traitement). La chaîne réglementaire s'enclenche alors immédiatement : notification à la CNIL sous 72 heures (article 33), et potentiellement communication aux personnes concernées si le risque pour leurs droits est élevé (article 34).

Pour les organisations soumises à NIS 2 (entités essentielles et importantes), l'obligation de notification d'un incident significatif est encore plus contraignante — avec un premier signalement attendu sous 24 heures. Les établissements d'enseignement supérieur et les organismes de formation appartenant aux secteurs couverts par NIS 2 doivent donc traiter cet avis avec la même urgence qu'une alerte de production critique.

Notons que ce type d'alerte CERT-FR sur des LMS populaires s'inscrit dans une série d'avis récents concernant des logiciels très répandus — comme les 22 failles documentées dans Confluence et Jira en avril dernier. La fréquence de ces alertes confirme que la politique de gestion des correctifs n'est plus une option mais un prérequis de conformité.

Ce que ça change pour les organisations

La réponse à cet avis doit être structurée et documentée, pas seulement technique :

• Inventorier immédiatement toutes les instances Moodle en production (on-premise, hébergées, cloud) et leurs versions exactes
• Patcher en urgence vers les versions 4.5.11+, 5.0.7+ ou 5.1.4+ selon la branche utilisée — les correctifs sont disponibles auprès de l'éditeur
• Analyser les logs d'accès des deux dernières semaines à la recherche de requêtes SQL anormales, d'appels d'API inhabituels ou de connexions depuis des IP non référencées
• Documenter la décision dans le registre des activités de traitement et dans le journal de sécurité : date de détection, évaluation de l'exposition, mesures prises, délai de correction
• Évaluer le risque de violation : si des traces d'exploitation sont détectées, le délai de notification de 72 heures à la CNIL commence à courir dès cet instant. Notre guide sur la gestion des violations de données détaille les étapes à suivre
• Mettre à jour le registre des risques avec la note de traitement de cet avis CERT-FR, même en l'absence d'incident avéré — la traçabilité de la diligence compte autant que le patching lui-même

Pour les organisations qui n'auraient pas encore formalisé leur approche de la sécurité des données, c'est également le bon moment pour consulter notre guide complet sur l'optimisation de la sécurité des données.

Ce que Leto pense de cette décision

Cet avis CERT-FR est un rappel net que la conformité RGPD ne s'arrête pas aux politiques et aux registres. L'obligation de sécurité de l'article 32 est concrète, opérationnelle et directement exposée à chaque avis de vulnérabilité publié. Les organisations qui utilisent Moodle — souvent des établissements publics avec des ressources IT limitées — doivent traiter cet avis avec la même rigueur qu'une entreprise du CAC 40. La différence d'exposition aux sanctions, en revanche, n'existe pas : la CNIL s'est montrée tout aussi ferme avec les acteurs publics en cas de négligence documentée.

Sources : Avis CERTFR-2026-AVI-0508 du CERT-FR · Bulletin de sécurité Moodle 474063