- Une vulnérabilité a été identifiée dans Moodle, la plateforme de formation en ligne très utilisée par les PME et organismes de formation.
- Elle permet à un attaquant d’accéder à des données confidentielles sans y être autorisé.
- Une mise à jour doit être appliquée dès que possible si vous utilisez Moodle.
De quoi s’agit-il ?
Le 23 juillet 2026, le CERT-FR a publié un avis signalant une vulnérabilité dans Moodle. Cette plateforme open source est largement utilisée pour gérer des formations en ligne, des e-learnings internes ou des parcours de montée en compétences au sein des entreprises et des centres de formation.
La faille en question permettrait à une personne malveillante de porter atteinte à la confidentialité des données hébergées sur la plateforme. Concrètement, cela signifie qu’un attaquant pourrait accéder à des informations auxquelles il n’a normalement pas le droit : données de profil des apprenants, résultats, contenus de formation, voire d’autres informations sensibles selon votre configuration.
Beaucoup de structures pensent que Moodle, étant un outil « interne » ou « réservé aux salariés », est moins exposé aux attaques. Ce n’est pas le cas : dès qu’une application est accessible via un navigateur, elle est potentiellement atteignable depuis l’extérieur, surtout si elle est hébergée sur un serveur connecté à Internet.
Si vous avez externalisé l’hébergement de votre Moodle à un prestataire ou un organisme de formation, contactez-le dès aujourd’hui pour vous assurer que la mise à jour a bien été appliquée. Ne partez pas du principe que c’est automatique.
Qui est concerné ?
Toute organisation qui héberge ou administre une instance Moodle est potentiellement concernée. Cela inclut :
- Les PME qui utilisent Moodle pour former leurs collaborateurs en interne ;
- Les organismes de formation professionnelle ;
- Les associations ou établissements qui proposent des parcours e-learning.
Si vous n’utilisez pas Moodle, ou si vous passez par une plateforme SaaS tierce qui gère les mises à jour à votre place, vérifiez simplement auprès de votre fournisseur que la correction a été déployée.
Ce qu’il faut faire concrètement
Vérifiez la version de Moodle que vous utilisez et appliquez sans délai la mise à jour corrective disponible. Si vous ne gérez pas vous-même votre hébergement, contactez votre prestataire technique ou votre hébergeur pour confirmer que le correctif a été installé. Consultez l’avis officiel du CERT-FR pour les détails techniques : CERTFR-2026-AVI-0921.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.