Moodle presenta un riesgo de Ejecución Remota de Código a través de la restauración de archivos

Un atacante podría aprovechar esta vulnerabilidad creando un archivo de copia de seguridad malicioso y restaurándolo en un servidor de Moodle vulnerable. Al restaurar este archivo, el atacante podría inyectar y ejecutar código malicioso en el servidor, obteniendo control sobre el mismo. Esto podría permitir el acceso no autorizado a datos sensibles, la modificación de la configuración del sistema, la instalación de malware, o incluso el uso del servidor como punto de partida para ataques a otros sistemas en la red. La necesidad de acceso autenticado limita el impacto a usuarios con privilegios, pero la gravedad de la posible ejecución de código en el servidor es considerable.

Educational institutions, organizations, and businesses that rely on Moodle for learning management are at risk. Specifically, deployments with weak password policies or shared administrator accounts are more vulnerable. Organizations using Moodle plugins that interact with the backup and restore functionality should also assess their risk.

• php: Examine Moodle logs for errors or unusual activity during backup and restore operations. Look for patterns indicative of code execution attempts.

 grep -i 'error' /var/log/apache2/error.log | grep 'moodle'

• php: Monitor file uploads to the Moodle backup directory for suspicious files. Check file extensions and content for potentially malicious code.

 find /var/www/moodle/backup -type f -name '*.zip' -print0 | xargs -0 file

• generic web: Monitor network traffic for unusual POST requests to Moodle's backup and restore endpoints. • generic web: Review Moodle user accounts and permissions, ensuring that only authorized personnel have access to backup and restore functionality.

1. 2026-02-21Disclosure

   disclosure

1. Reservado2026-02-10
2. Publicada2026-02-21
3. Modificada2026-03-02
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar Moodle a la versión 5.1.2 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización inmediata no es posible, se recomienda restringir el acceso a la funcionalidad de restauración de copias de seguridad solo a usuarios de confianza. Además, se debe implementar un escaneo exhaustivo de los archivos de copia de seguridad antes de su restauración para detectar posibles anomalías. Considerar la implementación de reglas en un Web Application Firewall (WAF) para bloquear la restauración de archivos de copia de seguridad sospechosos.

Última actualización

5.2.0recientemente