Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 27 octobre 2026 un avis de sécurité consacré à GLPI. Le logiciel de gestion de parc et de support informatique est concerné par plusieurs vulnérabilités susceptibles d’affecter la confidentialité ou l’intégrité des données et les mécanismes d’authentification. Les correctifs existent déjà : l’éditeur avait livré les versions 10.0.27 et 11.0.9 le 16 septembre.
Injection SQL et contournement de protections d’accès
L’avis CERTFR-2026-AVI-1389 recense notamment des risques d’injection SQL (SQLi), de scripts intersites (XSS) et de contournement des politiques de sécurité. Il identifie comme affectées les versions 11.0.x antérieures à 11.0.9 ainsi que les versions de la branche 10 antérieures à 10.0.27.
Dans l’un des bulletins techniques publiés par le projet GLPI le 26 octobre, une vulnérabilité de la fonction de planification permet une injection SQL sans authentification préalable. Le bulletin lui attribue une gravité élevée, avec un score CVSS 4.0 de 8,7 sur 10. Une autre fiche de sécurité de l’éditeur décrit un contournement de l’authentification à deux facteurs dans GLPI 11 : il suppose que l’attaquant ait préalablement obtenu le jeton de réinitialisation du mot de passe d’un utilisateur.
Le projet signale aussi une faiblesse d’authentification par certificat X.509 lorsque celle-ci est activée avec une configuration non sécurisée du serveur web. Selon l’avis correspondant, un certificat autosigné peut alors permettre d’usurper l’identité d’un utilisateur légitime. Le risque dépend donc de la configuration effectivement déployée.
Des mises à jour publiées en septembre, des avis détaillés en octobre
La chronologie importe pour les administrateurs : GLPI a annoncé le 16 septembre les versions correctives 11.0.9 et 10.0.27. Les fiches techniques détaillées ont été rendues publiques le 26 octobre, puis reprises le lendemain dans l’avis du CERT-FR. Il ne s’agit donc pas de correctifs apparus seulement à la fin d’octobre.
Pour les directions des systèmes d’information, la vérification porte sur la version réellement installée, les éventuelles instances exposées sur Internet et les configurations d’authentification. L’éditeur recommande de passer aux versions corrigées. Le CERT-FR renvoie aux bulletins du projet pour le détail des remédiations ; son avis ne fait état d’aucune compromission déterminée d’un organisme français.
