当Moodle和IOMAD的各版本达到生命周期终止时，CVE 漏洞仍会持续出现。

支持的版本：Moodle 4.3、IOMAD 4.3

针对仍在使用 Moodle 4.3 或 IOMAD 4.3 的用户，我们将持续提供由 SLA 支持的安全补丁，首先针对所有已知的生命周期结束（EOL）后漏洞提供回溯补丁。各组织可在按照自身时间表安排升级的同时，确保系统安全并符合合规要求。

获取定价
白色箭头
查看 Moodle 文档
查看 IOMAD 文档

深受企业信赖

谷歌标识微软徽标Finra 徽标桑坦德银行徽标 日立标志工作日徽标Dropbox 徽标

本页内容：

工作原理浏览 CVE安装阅读常见问题
获取定价
箭头

安全、合规与业务连续性——一并解决

借助我们为 Moodle 4.3 和 IOMAD 4.3 提供的安全即插即用替代方案，您的扫描器将彻底停止对已停止维护的 Moodle 版本中的 CVE 进行标记。

安全

每当发现、验证并回溯到 4.3.12 基准版本的、影响 4.3.x 版本的 Moodle CVE 时，都会发布一个新版本，该版本由在 Moodle 核心和 IOMAD 方面拥有深厚专业知识的工程师开发。

针对每个适用的Moodle漏洞的修复方案

HeroDevs 是经授权的 CVE 编号机构，并会披露发现的漏洞

合规

安装完成后，扫描器将不再标记 Moodle 或 IOMAD 4.3 的 CVE，因为该平台正在积极进行补丁修复并享有商业支持，从而将未解决的审计问题转为已解决。

SOC 2、GDPR、NIS2、《欧盟网络弹性法案》、HIPAA、ISO 27001 等

面向审计人员的补丁历史记录

业务连续性

真正的即插即用替代方案。数据库架构、插件、主题和集成均保持不变，安装方式与常规的Moodle版本升级相同。请安排在学期之间或认证周期之间进行向4.5或5.x版本的迁移。

升级所需的数月或数年的缓冲期

仅需匆忙升级或遭遇安全漏洞所产生成本的一小部分

团队为何选择 NES。

HeroDevs 提供所有严重级别 CVE 的修复方案，并根据严重级别提供相应的服务水平协议（SLA），同时也是经授权的 CVE 编号机构。

社区版 NGINX（已弃用的分支）
专门的EOL Moodle支持
因情况而异
按严重程度分类的 CVE 修复情况
CVE编号机构（CNA）
补丁交付服务水平协议（SLA）
直接替换
审计证据
无需承诺
因情况而异
除特殊情况外
因情况而异
因情况而异
HeroDevs 徽标
专为 Moodle 4.3 和 IOMAD 4.3 设计
所有严重程度级别
CVE 的发现与发布
已确认
标准Moodle布局，安装方式与点升级相同
与CVE映射的发布说明

未发布4.3补丁的严重级漏洞。

HeroDevs 是一家经授权的 CVE 编号机构（CNA），获 CVE 计划授权，负责发现并为 HeroDevs 发现的安全漏洞分配 CVE 标识符。

如果您目前正在运行已停止维护（EOL）的 Moodle 或 IOMAD，您的应用程序将面临以下漏洞的风险。
17个影响 Moodle 4.3 的 CVE
严重性
CVE
类别
受影响的版本
发布日期
高
CVE-2026-58336
授权旁路
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-62395
授权错误
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
2026年10月14日
低
CVE-2026-58335
授权错误
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-54869
拒绝服务
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
2026年10月14日
低
CVE-2025-67852
URL 重定向/开放重定向
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2026-58334
远程代码执行
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-67851
特殊元素中和不当
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2025-67850
跨站脚本
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2026-58333
路径遍历
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
低
CVE-2025-49518
授权旁路
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
高
CVE-2025-49517
授权错误
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
中型
CVE-2026-26047
拒绝服务
<4.5.9, >=5.0.0 <5.0.5, >=5.1.0 <5.1.2
2026年10月14日
高
CVE-2026-26046
远程代码执行
<4.5.9, >=5.0.0 <5.0.5, >=5.1.0 <5.1.2
2026年10月14日
低
CVE-2025-62437
授权错误
<4.1.20, >=4.2.0 <4.4.10, >=4.5.0 <4.5.6, >=5.0.0 <5.0.2
2026年10月14日
高
CVE-2026-26045
远程代码执行
<4.5.9, >=5.0.0 <5.0.5, >=5.1.0 <5.1.2
2026年10月14日
低
CVE-2025-62436
授权错误
<4.1.20, >=4.2.0 <4.4.10, >=4.5.0 <4.5.6, >=5.0.0 <5.0.2
2026年10月14日
低
CVE-2026-7278
跨站请求伪造
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
2026年10月14日
低
CVE-2026-7276
拒绝服务
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
2026年10月14日
中型
CVE-2025-62401
授权错误
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
2026年10月14日
中型
CVE-2025-62400
信息披露
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
2026年10月14日
高
CVE-2026-7275
远程代码执行
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
2026年10月14日
高
CVE-2025-62399
弱认证
<4.1.21, >=4.2.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
2026年10月14日
高
CVE-2026-58332
弱认证
>=4.3.0 <4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-62398
弱认证
>=4.3.0 <4.4.11, >=4.5.0 <4.5.7, >=5.0.0 <5.0.3
2026年10月14日
高
CVE-2025-67848
授权错误
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
低
CVE-2026-58342
跨站请求伪造
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
高
CVE-2026-7274
SQL注入
<4.5.11, >=5.0.0 <5.0.7, >=5.1.0 <5.1.4
2026年10月14日
低
CVE-2025-49516
跨站请求伪造
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
高
CVE-2025-67847
远程代码执行
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
低
CVE-2026-58341
跨站请求伪造
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
低
CVE-2026-58348
授权错误
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
高
CVE-2026-58347
拒绝服务
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
低
CVE-2026-58346
服务器端请求伪造
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-67857
信息披露
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2026-58345
授权错误
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
高
CVE-2026-58340
跨站脚本
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-67856
授权旁路
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
低
CVE-2026-58339
跨站脚本
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
高
CVE-2026-58331
路径遍历
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
低
CVE-2025-62438
授权错误
<4.1.20, >=4.2.0 <4.4.10, >=4.5.0 <4.5.6, >=5.0.0 <5.0.2
2026年10月14日
低
CVE-2026-58338
跨站请求伪造
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-67855
跨站脚本
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2025-49515
信息披露
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
低
CVE-2026-58337
跨站请求伪造
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
低
CVE-2025-67854
授权错误
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2025-67853
弱认证
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2025-49514
服务器端请求伪造
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
低
CVE-2025-49513
信息披露
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
关键
CVE-2025-46337
SQL注入
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月8日
加载更多
严重性
身份证
类别
受影响的版本
发布日期
低
CVE-2026-58338
跨站请求伪造
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
中型
CVE-2025-67855
跨站脚本
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2025-49515
信息披露
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
低
CVE-2026-58337
跨站请求伪造
<4.5.12, >=5.0.0 <5.0.8, >=5.1.0 <5.1.5, >=5.2.0 <5.2.1
2026年10月14日
低
CVE-2025-67854
授权错误
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2025-67853
弱认证
<4.1.22, >=4.2.0 <4.4.12, >=4.5.0 <4.5.8, >=5.0.0 <5.0.4, >=5.1.0 <5.1.1
2026年10月14日
高
CVE-2025-49514
服务器端请求伪造
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
低
CVE-2025-49513
信息披露
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月14日
关键
CVE-2025-46337
SQL注入
<4.1.19, >=4.2.0 <4.4.9, >=4.5.0 <4.5.5, >=5.0.0 <5.0.1
2026年10月8日
获取支持
查看完整目录

自2025年4月以来，Moodle 4.3尚未针对任何漏洞发布修复程序

Moodle 4.3 于 2023 年 10 月发布，于 2025 年 4 月发布了最后一个安全更新版本，随后被淘汰。积压的 CVE 和安全公告数量不断增加，且这些问题在 v4.3 版本中既未经过测试也未得到修复。

迅速投入实战

未修补的CVE漏洞可能会被利用，从而导致数据泄露或网络攻击。

一个审计问题

内部审计或SOC 2、GDPR、NIS2以及欧盟CRA等框架和法规均要求实施漏洞管理控制措施。未打补丁的CVE将导致无法符合合规要求。

升级需要数月时间

Moodle 的重大升级可能比较复杂。对于高度定制化的部署，从 4.3 升级到 4.5 是一个需要数月时间才能完成的项目。

多租户版Moodle也在支持范围内。

IOMAD 是一款多租户版 Moodle 发行版，被培训机构、特许经营企业以及企业学习与发展（L&D）团队广泛采用，这些机构通过一个平台为众多客户组织提供服务。由于 IOMAD 直接基于 Moodle 核心构建，上述所有 Moodle 核心漏洞都会影响 IOMAD 4.3。

一个 IOMAD 实例通常托管着数十家租户组织，因此一个未修补的远程代码执行漏洞将对所有租户造成广泛影响：一旦系统遭到入侵，众多客户都会受到波及。

查看文件
白色箭头

已与 IOMAD 核心数据进行核对

每个 Moodle 4.3 的回溯移植版本都会与 IOMAD 的核心修改进行核对。

同样的递送，同样的证据

相同的发布渠道、相同的与 CVE 映射的发布说明，以及与现有 IOMAD 4.3 部署相同的即插即用兼容性。

针对每一项标准、框架或法规，都提供一个站得住脚的答案。

一个已达到生命周期终点的Moodle或IOMAD网站，将无法满足全球各项法规对补丁管理的预期要求。NES为您提供一个由供应商提供支持且持续维护的Moodle 4.3版本，该版本附有明确的服务水平协议（SLA）以及与CVE映射的发布说明，可供审计人员和监管机构查阅。

《家庭教育权利和隐私法》（FERPA）

美国

各机构必须采取合理措施保护学生的教育记录。一个存储着成绩和注册数据却未安装安全补丁的学习管理系统（LMS）很难得到有效保护。NES 始终确保 Moodle 4.3 保持最新补丁状态。

GDPR

欧盟

第32条要求采取“最先进”的技术措施。若运行一个未获支持且存储学习者个人数据的Moodle平台，一旦发生数据泄露，将难以自证清白。NES负责该平台的维护工作。

SOC 2

全球

信任服务标准要求及时修复漏洞并进行补丁管理。一个已达到生命周期终止（EOL）且未安装安全补丁的Moodle系统，意味着控制措施失效。

ISO/IEC 27001:2022

全球

漏洞和配置管理控制措施要求解决技术漏洞。NES 通过提供 Moodle 4.3 的补丁，恢复了控制状态。

《网络韧性法》

欧盟

要求在支持期内有效处理产品及其组件中的漏洞。NES 持续为 Moodle 和 IOMAD 组件提供支持。

NIST CSF 2.0

美国

PR.PS-02 要求组织根据风险情况，对存在安全漏洞的软件进行维护或移除。NES 可在不强制升级的情况下帮助组织实现合规。

英国《通用数据保护条例》（GDPR）与“网络安全基本要求”（Cyber Essentials）

英国

“Cyber Essentials”要求在14天内为受支持的软件应用“高危”和“关键”级别的补丁。NES将Moodle 4.3重新纳入适用范围。

商业合同

全球

企业培训和IOMAD租户通常会在合同中禁止使用未获支持的软件。NES 提供了其政策所要求的、由供应商支持的解决方案。

常见问题

Moodle 4.3 是否仍在提供支持？
NES for Moodle 4.3 会更改我的网站或插件吗？
NES是否涵盖IOMAD？
那么 Moodle 4.1 和 4.4 呢？它们也已达到生命周期终止（EOL）。

联系我们

对开源库的永无止境支持有疑问？我们随时为您提供帮助！

了解 HeroDevs NES 产品如何确保您的系统安全和合规性。

了解我们的解决方案如何为贵组织带来价值。

获取符合您需求的详细定价信息。

谷歌标识莉莉徽标雅培标识方框标志EG 标志日立标识Dropbox 徽标NHS 标志工作日徽标Finra 徽标微软徽标桑坦德银行徽标
咨询专家

提交此表单即表示我已阅读并确认收到我们的《隐私政策》。

谢谢！您提交的材料已收到！
哎呀！提交表格时出了点问题。

资源

查看所有文章

公告

2026年10月22日

Moodle 4.3 停止维护：HeroDevs NES 现已提供安全补丁

Moodle 4.3 已于 2025 年 4 月 21 日停止接收安全修复程序。NES for Moodle 4.3 和 IOMAD 4.3 会回溯移植所有支持周期结束后的补丁，因此您可以按照自己的时间表进行升级。

更多信息

开源生态系统

2026年10月22日

HeroDevs 重申对 2026 年开源承诺的坚定支持，资助金额超过 73.9 万美元

2026年，HeroDevs向开源社区回馈了739,137美元，平均每位开发者贡献近20,000美元，用于资助开源生态系统、维护者及基金会。

更多信息

EOL 软件

2026年10月15日

Python 生命周期结束日期：各版本的支持时间表

关于 Python 3.8 至 3.14 版本的生命周期、支持阶段及关键生命周期结束日期的完整指南

更多信息