Le Centre gouvernemental de veille, d’alerte et de réponse aux attaques informatiques (CERT-FR), rattaché à l’Agence nationale de la sécurité des systèmes d’information (ANSSI), a publié le 27 octobre 2026 un avis de sécurité concernant plusieurs vulnérabilités de GLPI. Ce logiciel de gestion de parc informatique et de services d’assistance est concerné par des failles d’authentification, d’injection SQL et de scripts intersites. Les versions corrigées sont GLPI 10.0.27 et 11.0.9, selon les branches et les défauts en cause.
Une injection SQL possible sans authentification
Parmi les bulletins publiés par l’éditeur le 26 octobre, l’avis GHSA-753w-2942-4pxm décrit une injection SQL fondée sur le temps de réponse dans une fonctionnalité de planification. Le défaut peut être exploité par un utilisateur non authentifié dans la version 11.0.8. L’éditeur lui attribue une gravité de 8,7 sur 10 selon le référentiel CVSS 4.0 et indique que la version 11.0.9 apporte le correctif.
Le périmètre ne se limite pas aux requêtes vers la base de données. Une autre vulnérabilité permet, sous certaines conditions, de contourner la double authentification : un attaquant ayant obtenu le jeton de réinitialisation du mot de passe d’un utilisateur peut accéder à son compte sans passer par la vérification à deux facteurs. Ce scénario, détaillé dans le bulletin GHSA-3rr2-mxv6-rmc2, concerne la branche 11 et est corrigé en version 11.0.9. L’existence de cette faille ne prouve pas qu’un jeton ait été volé dans une organisation donnée.
Les configurations d’authentification par certificat également concernées
Le bulletin GHSA-5jg3-2qx2-gq7g documente un autre problème : lorsque l’authentification X.509 est activée et que le serveur web utilise une configuration non sécurisée, un certificat autosigné peut permettre l’usurpation d’un utilisateur légitime. L’éditeur recommande les versions 10.0.27 ou 11.0.9. Il décrit aussi une correction de configuration Apache pour les installations concernées.
D’autres défauts recensés par le CERT-FR portent sur l’intégrité des données et sur des injections de scripts intersites, ou XSS. Ces dernières peuvent notamment conduire à l’exécution de code dans le navigateur d’un utilisateur consultant un contenu affecté. Les conditions d’exploitation varient selon les vulnérabilités et les versions installées.
Un contrôle des versions et des accès pour les équipes informatiques
Pour les responsables de la sécurité des systèmes d’information, l’avis implique d’identifier les instances GLPI effectivement déployées, leur branche logicielle et leurs modes d’authentification. Les équipes doivent ensuite rapprocher ces informations des bulletins de l’éditeur avant d’appliquer les correctifs et de vérifier le fonctionnement des services d’assistance et de gestion des actifs.
Le CERT-FR renvoie aux sept avis de sécurité de GLPI publiés le 26 octobre. Son bulletin du 27 octobre décrit des vulnérabilités et les remédiations disponibles ; il ne fait pas état, à lui seul, d’une exploitation confirmée contre une administration ou une entreprise française.
