- Plusieurs vulnérabilités ont été identifiées dans Moodle, la plateforme d’apprentissage en ligne.
- Certaines pourraient permettre à un attaquant d’accéder à des données confidentielles ou d’injecter du code malveillant dans des pages web (XSS).
- Une mise à jour est à appliquer dès que possible si vous utilisez Moodle dans votre structure.
Ce qui se passe
Le CERT-FR a publié le 10 septembre 2026 un avis signalant plusieurs vulnérabilités découvertes dans Moodle. Moodle est un outil très répandu pour créer et gérer des formations en ligne, utilisé aussi bien par des organismes de formation que par certaines PME pour la montée en compétences de leurs équipes.
Selon le CERT-FR, parmi les failles identifiées, certaines pourraient permettre à un attaquant de :
- Accéder à des données confidentielles : des informations accessibles sur la plateforme pourraient être consultées sans autorisation.
- Réaliser une injection de code à distance (XSS) : un attaquant pourrait faire afficher du code malveillant dans le navigateur d’un utilisateur connecté, à son insu.
- Effectuer des actions non autorisées (CSRF) : un utilisateur légitime pourrait être amené, sans le savoir, à déclencher des opérations sur la plateforme au profit de l’attaquant.
Beaucoup de responsables considèrent que Moodle, étant un outil « interne » de formation, est peu exposé aux cyberattaques. En réalité, si votre instance Moodle est accessible depuis Internet, elle est potentiellement visible et ciblable comme n’importe quel autre service en ligne.
Si vous ne gérez pas Moodle vous-même mais passez par un prestataire ou un hébergeur, contactez-le pour vous assurer que la mise à jour a bien été effectuée. Gardez une trace écrite de sa réponse.
Ce qu’il faut faire concrètement
Si votre organisation utilise Moodle, vérifiez auprès de votre responsable informatique ou de votre prestataire que la version installée a bien été mise à jour conformément aux recommandations du CERT-FR. En cas de doute sur l’exposition de votre plateforme ou sur la marche à suivre, rapprochez-vous d’un professionnel. Consultez l’avis officiel pour suivre les mises à jour : Avis CERT-FR CERTFR-2026-AVI-1155.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.