Falhas de segurança do Moodle em setembro de 2026: o que atualizar agora

Entre 9 e 22 de setembro de 2026, o Moodle publicou 10 alertas de segurança no seu site oficial. Dois deles são classificados como graves. Se a sua plataforma não recebeu atualização desde o começo de setembro, ela está exposta a pelo menos uma dessas falhas.

Resumimos aqui o que foi publicado, quem está afetado e o que fazer, sem alarmismo e sem detalhes que ajudem quem quer explorar as falhas.

As duas falhas graves

Injeção de SQL cega na condição de perfil (MSA-26-0042)

Uma validação insuficiente na verificação de condição de disponibilidade por perfil abria um risco de injeção de SQL cega. O risco estava disponível para professores e outros usuários com privilégios, como administradores. Na prática: alguém com conta de professor, ou uma conta de professor invadida, poderia tentar ler dados do banco que não deveria ver. Publicado em 22 de setembro.

CSRF na importação de notas em XML (MSA-26-0041)

A importação de notas em XML, que permite definir ou sobrescrever notas de alunos, não tinha o token que impede ataques de CSRF. Em linguagem simples: um professor logado poderia ser induzido a clicar num link e, sem perceber, disparar uma alteração de notas. Para quem precisa de notas confiáveis, em escola ou em compliance de empresa, isso pesa. Publicado em 9 de setembro.

As oito falhas de risco menor

• MSA-26-0043: era possível contornar o aviso de novo login, então o usuário não seria avisado de um acesso à conta dele. As credenciais continuavam sendo necessárias.
• MSA-26-0040: filtros da lista de usuários permitiam filtrar por campos de perfil que o gestor não podia ver.
• MSA-26-0039: risco de XSS pelo link de redefinição de senha, para um usuário não autenticado induzido a abrir o link.
• MSA-26-0038: ao matricular com grupo, não se validava se o grupo era do curso (só versões 5.1 e 5.2).
• MSA-26-0037: faltava checagem de permissão para recalcular penalidades de nota (versões 5.0 em diante).
• MSA-26-0036: checagem incorreta de permissão no serviço de IA de gerar imagem.
• MSA-26-0035: a página de matrícula manual podia ser acessada mesmo com o plugin desativado (ainda exigia a permissão).
• MSA-26-0034: risco de XSS em templates usados para exibir posts de fórum.

Versões afetadas e versões que corrigem

Quando os alertas saíram, o número CVE de cada falha ainda estava pendente. A referência oficial, enquanto isso, é o código MSA.

O que fazer agora

1. Confira a sua versão em Administração do site > Notificações.
2. Se está num ramo com suporte (5.3, 5.2, 5.1 ou 4.5), atualize para a versão de correção mais recente do mesmo ramo. É uma atualização menor, sem mudança de recursos, mas faça backup do banco e do moodledata antes e teste fora do horário de pico.
3. Se está numa versão sem suporte, não existe correção para aplicar. Atenção: o Moodle 5.0 perdeu o suporte de segurança em 5 de outubro de 2026, então a versão 5.0.10 foi uma das últimas correções desse ramo. É hora de planejar a atualização. Já fizemos upgrade encadeado de um Moodle 3.x até a versão atual sem perder dados. Se for subir agora, vale considerar o Moodle 5.3, com suporte até 2029.
4. Revise quem tem papel de professor ou gestor. As falhas graves dependem de contas com privilégio. Contas antigas, compartilhadas ou com senha repetida aumentam o risco.

Por que isso não pode esperar

Alertas de segurança são públicos. No dia em que saem, quem procura Moodles desatualizados também lê. Já vimos de perto como uma falha pública não corrigida vira risco real, e como uma versão sem suporte somada a backups expostos e senhas repetidas forma a cadeia de um vazamento.

Segurança no Moodle não é um evento, é rotina: acompanhar os alertas, aplicar as correções do ramo e não deixar a plataforma ficar para trás. Se ninguém está fazendo isso pela sua, é por aí que começamos.

Perguntas frequentes