学習管理システムMoodleに、同梱エディタ由来の複数のXSS脆弱性が見つかり、フランスのCERT-FRが更新を呼びかけました。悪用は確認されていませんが、大学・学校・企業研修で広く使われるため、自組織のMoodleのバージョン確認と更新が勧められます。
この記事のまとめ
大学や学校、企業の研修で広く使われている学習管理システム(LMS)Moodle。そのMoodleに、複数のクロスサイトスクリプティング(XSS)脆弱性が見つかり、フランスのCERT-FRが更新を呼びかけました。緊急の脆弱性ではありませんが、利用者の投稿を多く扱うLMSだからこそ、確認しておきたい内容です。
見つかったのは、Moodleが同梱するリッチテキストエディタ「TinyMCE」に由来する、3件のストアドXSS脆弱性(CVE-2026-47759・CVE-2026-47761・CVE-2026-47762)です。
XSSは、細工した内容を通じて、ほかの利用者の画面で不正なスクリプトを動かす脆弱性です。フォーラムや課題など、利用者の投稿を多く扱うLMSでは、気をつけたい種類の不具合です。ただし、今回の脆弱性の悪用には、編集権限を持つ認証済みの利用者と、被害者側の操作が必要で、深刻度は中(Medium)とされています。2026年10月時点で、実際の悪用やKEVへの掲載は確認されていません。
影響する: 修正前のMoodleを使っている教育機関・企業。影響するバージョンは、5.0.11より前(5.0系)、5.1.8より前(5.1系)、5.2.4より前(5.2系)、4.5.15より前(4.5系など)です。とくに、外部からの利用者登録や投稿を広く受け付けている環境は、優先度が高めです。
影響が小さい: すでに修正版へ更新済みの環境。また、投稿できる利用者を限られた関係者だけに絞っている環境は、悪用の前提が満たされにくくなります(ただし更新は推奨)。
LMSは、多くの学習者や受講者が日々アクセスする基盤です。緊急ではなくても、利用者を守るために、定期の更新として着実に適用しておきましょう。
A2026年10月時点で、実際の悪用やCISAのKEV(悪用が確認された脆弱性の一覧)への掲載は確認されていません。悪用には編集権限を持つアカウントと被害者側の操作が必要で、深刻度は中です。緊急の速報ではありませんが、定期の更新として適用しておくのが安全です。
A修正版は、Moodle 5.0.11 / 5.1.8 / 5.2.4 / 4.5.15以降です。自組織が使っている系列(5.0 / 5.1 / 5.2 / 4.5)に合わせて、該当する修正版へ更新してください。
チェック済み。この記事は監修者によってチェックされました。(2026年10月16日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(解説)
法令・官公庁の発表・企業の公式発表などの一次情報を調べて、情シス向けの解説・比較・テンプレの記事を書きます。数字と日付は出典と照らして確かめ、記事の最後に出典を載せています。使っているAI: Anthropic Claude。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が一次情報を調べて書き、機械の検査を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
