Ce que signale le CERT-FR
L’avis CERTFR-2026-AVI-1389 recense sept vulnérabilités touchant GLPI. Parmi les risques figurent l’injection SQL, les scripts intersites (XSS), des contournements de protections d’authentification et des problèmes liés à la gestion des plugins. L’exposition réelle varie selon la version, les droits et la configuration.
Quelles versions vérifier ?
L’avis mentionne notamment GLPI 11.0.x avant 11.0.9 et les versions antérieures à 10.0.27. Ces seuils concernent les correctifs des failles citées et ne sont pas des recommandations de versions à installer aujourd’hui.
Au 28 octobre 2026, GLPI 11.0.11 et 12 sont disponibles. GLPI 10 est arrivé en fin de support avec GLPI 12. Vérifiez les versions officielles et les prérequis avant toute mise à niveau.
Plan d’action pour les administrateurs
- Inventorier : relever la version, la liste des plugins et les méthodes d’authentification actives.
- Sauvegarder : conserver la base de données, les fichiers, la configuration et les plugins ; tester la restauration.
- Tester : vérifier en préproduction les exigences PHP et base de données, puis la compatibilité des extensions.
- Corriger : appliquer une version maintenue provenant du dépôt officiel GLPI ; planifier la migration des installations GLPI 10.
- Durcir : limiter les privilèges, activer le MFA lorsque disponible, supprimer les plugins inutilisés et restreindre les accès exposés.
- Surveiller : contrôler les journaux et les comportements inhabituels après la mise à jour. Une correction ne prouve pas qu’aucune compromission antérieure n’a eu lieu.
Comment préparer une migration GLPI 12 ?
Commencez par un inventaire des intégrations, des plugins et des prérequis ; réalisez une sauvegarde restaurable et une répétition de la migration sur une copie de l’environnement. Vérifiez ensuite les parcours de connexion, la gestion des tickets et les fonctions critiques avant la bascule.
À retenir
Vérifier la version, sauvegarder, corriger et migrer vers une branche maintenue : c’est la meilleure réponse à cet avis, sans dramatiser une vulnérabilité déjà corrigée.
La Veille logiciels TechAtelier peut aider à inventorier les logiciels et à examiner les mises à jour ; elle ne remplace pas les alertes de l’éditeur ni une investigation en cas d’incident.
Sources
Publié le 28 octobre 2026.