Même lorsque les versions de Moodle et d'IOMAD arrivent en fin de vie, les CVE continuent d'apparaître.

Versions prises en charge : Moodle 4.3, IOMAD 4.3

Des correctifs de sécurité continus, couverts par le contrat de niveau de service (SLA), sont proposés à tous ceux qui utilisent encore Moodle 4.3 ou IOMAD 4.3, à commencer par des portages rétrospectifs pour chaque vulnérabilité connue apparue après la fin de vie (EOL). Les organisations restent ainsi protégées et conformes tout en pouvant planifier la mise à niveau selon leur propre calendrier.

Obtenir un devis
Flèche blanche
Consulter la documentation Moodle
Consulter les documents de l'IOMAD

RECONNU PAR LES GRANDES ENTREPRISES

Logo GoogleLogo MicrosoftLogo de la FinraLogo de la banque Santander Logo HitachiLogo de WorkdayLogo Dropbox

Sur cette page :

Comment ça marche ?Parcourir les CVEInstallationLectureFoire aux questions
Obtenir un devis
Flèche

Sécurité, conformité et continuité : des défis à relever ensemble

Grâce à notre solution de remplacement prête à l'emploi et sécurisée pour Moodle 4.3 et IOMAD 4.3, vos outils de scan cesseront définitivement de signaler des vulnérabilités CVE dans les versions de Moodle arrivées en fin de vie.

Sécurité

Une nouvelle version est publiée chaque fois qu'une vulnérabilité CVE affectant Moodle 4.3.x est identifiée, validée et rétroportée vers la version de référence 4.3.12, développée par des ingénieurs possédant une expertise approfondie du cœur de Moodle et de l'IOMAD.

Un correctif pour chaque vulnérabilité concernée de Moodle

HeroDevs est une autorité de numérotation CVE agréée et publie les vulnérabilités qu'elle découvre.

Conformité

Une fois installés, les scanners cessent de signaler les vulnérabilités CVE de Moodle ou d'IOMAD 4.3, car la plateforme bénéficie de correctifs réguliers et d'un support technique commercial, ce qui permet de transformer les résultats d'audit ouverts en résultats clôturés.

SOC 2, RGPD, NIS 2, loi européenne sur la cyber-résilience, HIPAA, ISO 27001, etc.

Historique documenté des correctifs à l'intention des auditeurs

Continuité des activités

Une véritable mise à niveau sans modification. Même schéma de base de données, mêmes plugins, thèmes et intégrations, installés comme pour une mise à jour mineure habituelle de Moodle. Prévoyez la migration vers la version 4.5 ou 5.x entre deux trimestres ou cycles de certification.

Il faut des mois, voire des années, pour mettre à niveau correctement le système

Une fraction du coût d'une mise à niveau précipitée ou d'une faille de sécurité

Pourquoi les équipes choisissent NES.

HeroDevs propose des correctifs CVE pour tous les niveaux de gravité, assortis de contrats de niveau de service (SLA) adaptés à chaque niveau, et est une autorité de numérotation CVE agréée.

NGINX Community (branche obsolète)
Assistance dédiée à Moodle en fin de vie (EOL)
Variable
Correctifs CVE classés par niveau de gravité
Autorité de numérotation CVE (CNA)
SLA relatif à la mise à disposition des correctifs
Remplacement direct
Éléments probants d'audit
Sans engagement
Variable
Sous réserve de certaines exceptions
Variable
Variable
Logo de HeroDevs
Spécialement conçu pour Moodle 4.3 et IOMAD 4.3
Tous les niveaux de gravité
Découverte et publication des CVE
Engagé
Mise en page standard de Moodle, s'installe comme une mise à jour mineure
Notes de mise à jour associées aux CVE

Vulnérabilités classées comme « graves » pour lesquelles aucun correctif n'est disponible pour la version 4.3.

HeroDevs est une autorité de numérotation CVE (CNA) agréée, habilitée par le programme CVE à identifier et à attribuer des identifiants CVE aux failles de sécurité découvertes par HeroDevs.

Si vous utilisez actuellement une version de Moodle ou d'IOMAD arrivée en fin de vie (EOL), vos applications sont exposées aux failles de sécurité ci-dessous.
17 vulnérabilités CVE affectant Moodle 4.3
Sévérité
CVE
Catégorie
Version(s) affectée(s)
Date de publication
Haut
CVE-2026-58336
Contournement de l'autorisation
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-62395
Autorisation incorrecte
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Faible
CVE-2026-58335
Autorisation incorrecte
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-54869
Déni de service
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Faible
CVE-2025-67852
URL Redirect/Open Redirect
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Haut
CVE-2026-58334
Exécution de code à distance
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-67851
Neutralisation incorrecte d'éléments spéciaux
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Haut
CVE-2025-67850
Scripts croisés (Cross-Site Scripting)
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Haut
CVE-2026-58333
Traversée du chemin
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Faible
CVE-2025-49518
Contournement de l'autorisation
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
14 octobre 2026
Haut
CVE-2025-49517
Autorisation incorrecte
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
14 octobre 2026
Moyen
CVE-2026-26047
Déni de service
<4.5.9, >=5.0.0 <5.0.5, >=5.1.0 <5.1.2
14 octobre 2026
Haut
CVE-2026-26046
Exécution de code à distance
<4.5.9, >=5.0.0 <5.0.5, >=5.1.0 <5.1.2
14 octobre 2026
Faible
CVE-2025-62437
Autorisation incorrecte
<4.1.20, >=4.2.0 <4.4.10, >=4.5.0 <4.5.6, >=5.0.0 <5.0.2
14 octobre 2026
Haut
CVE-2026-26045
Exécution de code à distance
<4.5.9, >=5.0.0 <5.0.5, >=5.1.0 <5.1.2
14 octobre 2026
Faible
CVE-2025-62436
Autorisation incorrecte
<4.1.20, >=4.2.0 <4.4.10, >=4.5.0 <4.5.6, >=5.0.0 <5.0.2
14 octobre 2026
Faible
CVE-2026-7278
Falsification des requêtes intersites
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
14 octobre 2026
Faible
CVE-2026-7276
Déni de service
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
14 octobre 2026
Moyen
CVE-2025-62401
Autorisation incorrecte
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Moyen
CVE-2025-62400
Exposition à l'information
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Haut
CVE-2026-7275
Exécution de code à distance
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
14 octobre 2026
Haut
CVE-2025-62399
Authentification faible
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Haut
CVE-2026-58332
Authentification faible
>=4.3.0 <4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-62398
Authentification faible
>=4.3.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Haut
CVE-2025-67848
Autorisation incorrecte
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Faible
CVE-2026-58342
Falsification des requêtes intersites
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Haut
CVE-2026-7274
Injection SQL
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
14 octobre 2026
Faible
CVE-2025-49516
Falsification des requêtes intersites
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
14 octobre 2026
Haut
CVE-2025-67847
Exécution de code à distance
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Faible
CVE-2026-58341
Falsification des requêtes intersites
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Faible
CVE-2026-58348
Autorisation incorrecte
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Haut
CVE-2026-58347
Déni de service
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Faible
CVE-2026-58346
Falsification de requête côté serveur
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-67857
Exposition à l'information
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Haut
CVE-2026-58345
Autorisation incorrecte
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Haut
CVE-2026-58340
Scripts croisés (Cross-Site Scripting)
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-67856
Contournement de l'autorisation
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Faible
CVE-2026-58339
Scripts croisés (Cross-Site Scripting)
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Haut
CVE-2026-58331
Traversée du chemin
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Faible
CVE-2025-62438
Autorisation incorrecte
<4.1.20, >=4.2.0 <4.4.10, >=4.5.0 <4.5.6, >=5.0.0 <5.0.2
14 octobre 2026
Faible
CVE-2026-58338
Falsification des requêtes intersites
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-67855
Scripts croisés (Cross-Site Scripting)
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Haut
CVE-2025-49515
Exposition à l'information
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
14 octobre 2026
Faible
CVE-2026-58337
Falsification des requêtes intersites
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Faible
CVE-2025-67854
Autorisation incorrecte
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Haut
CVE-2025-67853
Authentification faible
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Haut
CVE-2025-49514
Falsification de requête côté serveur
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
14 octobre 2026
Faible
CVE-2025-49513
Exposition à l'information
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
14 octobre 2026
Critique
CVE-2025-46337
Injection SQL
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
8 octobre 2026
En savoir plus
Sévérité
ID
Catégorie
Version(s) affectée(s)
Date de publication
Haut
CVE-2026-7275
Exécution de code à distance
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
14 octobre 2026
Haut
CVE-2025-62399
Authentification faible
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Haut
CVE-2026-58332
Authentification faible
>=4.3.0 <4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Moyen
CVE-2025-62398
Authentification faible
>=4.3.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
14 octobre 2026
Haut
CVE-2025-67848
Autorisation incorrecte
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Faible
CVE-2026-58342
Falsification des requêtes intersites
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Haut
CVE-2026-7274
Injection SQL
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
14 octobre 2026
Faible
CVE-2025-49516
Falsification des requêtes intersites
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
14 octobre 2026
Haut
CVE-2025-67847
Exécution de code à distance
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
14 octobre 2026
Faible
CVE-2026-58341
Falsification des requêtes intersites
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
14 octobre 2026
Obtenir de l'aide
Voir l'annuaire complet

Depuis avril 2025, aucune vulnérabilité de Moodle 4.3 n'a fait l'objet d'un correctif.

Moodle 4.3 a été lancé en octobre 2023, a bénéficié de sa dernière mise à jour de sécurité en avril 2025, puis a été retiré du support. Le nombre de vulnérabilités (CVE) et d'avis de sécurité en attente ne cesse d'augmenter, et celles-ci ne sont ni testées ni corrigées pour la version 4.3.

Rapidement transformé en arme

Les vulnérabilités CVE non corrigées peuvent être exploitées, ce qui peut entraîner une fuite de données ou une cyberattaque.

Un problème d'audit

Les audits internes ou les cadres réglementaires tels que SOC 2, le RGPD, la directive NIS 2 et la CRA de l'UE exigent la mise en place de contrôles de gestion des vulnérabilités. Les CVE non corrigées constituent un manquement à la conformité.

Les mises à niveau prennent des mois

Les mises à jour majeures de Moodle peuvent s'avérer complexes. Pour un déploiement fortement personnalisé, le passage de la version 4.3 à la version 4.5 constitue un projet qui s'étend sur plusieurs mois.

Moodle multi-locataires est également pris en charge.

IOMAD est une distribution multi-locataires de Moodle, largement utilisée par les prestataires de formation, les réseaux de franchise et les équipes de formation et de développement en entreprise qui accompagnent de nombreuses organisations clientes à partir d’une seule et même plateforme. IOMAD étant directement construit sur le noyau Moodle, toutes les vulnérabilités du noyau Moodle mentionnées ci-dessus se répercutent sur IOMAD 4.3.

Une seule instance d’IOMAD héberge souvent des dizaines d’organisations clientes ; ainsi, une seule vulnérabilité d’exécution de code à distance non corrigée a un impact à grande échelle sur l’ensemble des locataires : une seule compromission suffit pour affecter de nombreux clients.

Voir les documents
Flèche blanche

Rapprochement par rapport au noyau IOMAD

Chaque portage vers Moodle 4.3 est harmonisé avec les modifications apportées au cœur du logiciel par l'IOMAD.

Même livraison, mêmes preuves

Le même canal de distribution, les mêmes notes de mise à jour référencées par CVE et la même compatibilité immédiate avec un déploiement IOMAD 4.3 existant.

Une réponse solide pour chaque norme, cadre ou réglementation.

Un site Moodle ou IOMAD en fin de vie compromet le respect des exigences en matière de gestion des correctifs imposées par les réglementations internationales. NES vous propose une version de Moodle 4.3 maintenue et prise en charge par le fournisseur, assortie de contrats de niveau de service (SLA) garantis et de notes de mise à jour référençant les vulnérabilités CVE, que vous pourrez présenter aux auditeurs et aux autorités de régulation.

FERPA

États-Unis

Les établissements doivent mettre en œuvre des mesures raisonnables pour protéger les dossiers scolaires des étudiants. Un système de gestion de l'apprentissage (LMS) contenant des notes et des données d'inscription, mais dépourvu de correctifs de sécurité, est difficile à défendre. NES veille à ce que Moodle 4.3 soit toujours à jour.

GDPR

UE

L'article 32 exige la mise en œuvre de mesures techniques « à la pointe de la technologie ». L'exploitation d'une instance Moodle non prise en charge contenant les données personnelles des apprenants est difficile à justifier en cas de violation de la sécurité. NES assure la maintenance de la plateforme.

SOC 2

Mondial

Les critères relatifs aux services de confiance exigent une correction rapide des vulnérabilités et une gestion rigoureuse des correctifs. Un Moodle en fin de vie (EOL) ne bénéficiant d'aucun correctif de sécurité équivaut à un échec des contrôles.

ISO/IEC 27001:2022

Mondial

Les mesures de gestion des vulnérabilités et des configurations impliquent de remédier aux vulnérabilités techniques. NES rétablit le niveau de contrôle grâce à la mise à disposition de correctifs pour Moodle 4.3.

Loi sur la cyber-résilience

UE

Exige que les vulnérabilités des produits et de leurs composants soient traitées efficacement pendant la période de support. NES assure la prise en charge des composants Moodle et IOMAD.

NIST CSF 2.0

États-Unis

La norme PR.PS-02 impose aux organisations de maintenir ou de supprimer les logiciels vulnérables en fonction des risques. NES permet de se conformer à cette norme sans mise à jour forcée.

RGPD au Royaume-Uni et Cyber Essentials

Royaume-Uni

La certification « Cyber Essentials » exige que les logiciels pris en charge bénéficient des correctifs de niveau « élevé » et « critique » dans un délai de 14 jours. NES réintègre Moodle 4.3 dans son champ d'application.

Contrats commerciaux

Mondial

Les formations en entreprise et les locataires de l'IOMAD interdisent souvent, par contrat, l'utilisation de logiciels non pris en charge. NES apporte la solution prise en charge par les éditeurs, conformément à leurs politiques.

Questions fréquemment posées

Moodle 4.3 bénéficie-t-il toujours d'un support technique ?
NES pour Moodle 4.3 modifie-t-il mon site ou mes extensions ?
Le régime NES prend-il en charge l'IOMAD ?
Et Moodle 4.1 et 4.4 ? Elles sont elles aussi en fin de vie.

Nous contacter

Vous avez des questions sur l'assistance permanente pour votre bibliothèque open-source ? Nous sommes là pour vous aider !

Découvrez comment les produits NES de HeroDevs peuvent assurer la sécurité et la conformité de vos systèmes.

Découvrez comment nos solutions peuvent apporter de la valeur à votre organisation.

Obtenez des informations détaillées sur les prix, adaptées à vos besoins.

Logo GoogleLogo LillyLogo AbbottLogo en forme de boîteLogo EGLogo HitachiLogo DropboxLogo du NHSLogo de WorkdayLogo de la FinraLogo MicrosoftLogo Santander
Parler à un expert

En envoyant ce formulaire, je confirme avoir pris connaissance de notre Politique de confidentialité.

Nous vous remercions ! Votre demande a bien été reçue !
Oups ! Un problème s'est produit lors de l'envoi du formulaire.

Ressources

Voir tous les articles

Annonces

22 octobre 2026

Fin de vie de Moodle 4.3 : correctifs de sécurité désormais disponibles avec HeroDevs NES

Moodle 4.3 a cessé de bénéficier de correctifs de sécurité le 21 avril 2025. NES pour Moodle 4.3 et IOMAD 4.3 intègrent tous les correctifs publiés après la fin de vie du produit (EOL), ce qui vous permet de procéder à la mise à niveau au moment qui vous convient.

En savoir plus

Écosystème open source

22 octobre 2026

HeroDevs réaffirme son engagement envers l'Open Source Pledge pour 2026 avec un soutien de plus de 739 000 dollars

En 2026, HeroDevs réinjecte 739 137 dollars dans l'open source, soit près de 20 000 dollars par développeur, pour financer les écosystèmes, les responsables de maintenance et les fondations.

En savoir plus

Logiciel EOL

15 octobre 2026

Dates de fin de vie de Python : calendrier de prise en charge de chaque version

Guide complet sur le cycle de vie des versions de Python, les phases de support et les dates critiques de fin de vie, de la version 3.8 à la version 3.14

En savoir plus