GLPI : des correctifs de sécurité à prévoir pour les outils de support informatique

Des bulletins de l’éditeur le 26 octobre, puis un avis français le 27

GLPI est un logiciel de gestion de parc et de demandes d’assistance informatique. Dans certaines entreprises, il centralise les tickets, les équipements et les comptes d’intervention. Le 26 octobre 2026, son équipe a publié plusieurs bulletins de sécurité ; le CERT-FR les a repris dans l’avis CERTFR-2026-AVI-1389 du 27 octobre. Cette chronologie distingue la publication technique de l’éditeur de la diffusion de l’alerte nationale.

Le CERT-FR cite les branches GLPI 11.0.x antérieures à 11.0.9 et les versions antérieures à 10.0.27 comme affectées dans le périmètre de son avis. Il mentionne des risques d’injection SQL, d’injection de code dans le navigateur (XSS), d’atteinte à l’intégrité et de contournement de politiques de sécurité. Toutes ces failles n’ont pas les mêmes conditions d’exploitation : il faut consulter les bulletins détaillés, et non additionner leurs risques comme s’il s’agissait d’une attaque unique.

Un cas précis : l’injection SQL dans la fonction planning

Le bulletin GHSA-753w-2942-4pxm décrit une injection SQL fondée sur le temps de réponse dans la fonction planning. L’éditeur indique qu’un utilisateur non authentifié peut tenter ce type de requête dans les conditions décrites. Le bulletin concerne la branche 11.0.8 et indique la version 11.0.9 comme corrigée. Cela ne signifie pas que toutes les bases GLPI ont été consultées ou modifiées : il s’agit d’une possibilité technique documentée, sans preuve d’exploitation généralisée dans les sources retenues.

Authentification : deux situations à ne pas confondre

Dans GHSA-3rr2-mxv6-rmc2, l’éditeur explique qu’un attaquant qui parvient déjà à obtenir le jeton de réinitialisation du mot de passe d’un utilisateur peut contourner la vérification à deux facteurs lors de la connexion. La possession de ce jeton est une condition préalable importante : le bulletin ne dit pas qu’un inconnu peut se connecter à n’importe quel compte sans autre élément. GLPI 11.0.9 corrige le problème.

Un autre bulletin, GHSA-5jg3-2qx2-gq7g, concerne l’authentification par certificat X.509 lorsqu’elle est activée avec une configuration non sûre du serveur Web. Dans ce cas particulier, un certificat autosigné peut permettre une usurpation de compte. L’éditeur recommande GLPI 10.0.27 ou 11.0.9 et détaille une configuration de remplacement pour les administrateurs. Une TPE n’utilisant pas ce mode d’authentification n’est pas concernée par ce scénario précis.

Pourquoi une PME doit prendre le sujet au sérieux

Un outil de tickets peut contenir des coordonnées de collaborateurs, des informations sur les équipements, des demandes de dépannage et parfois des détails de configuration. Une défaillance de son contrôle d’accès peut donc exposer des informations utiles à un attaquant. Mais il serait trompeur d’affirmer que tous les ordinateurs de l’entreprise sont compromis parce que GLPI nécessite une mise à jour. L’avis porte sur le logiciel de gestion, pas directement sur chaque poste inventorié.

Les vérifications à demander au prestataire

• Confirmer si GLPI est réellement utilisé, où il est hébergé, qui l’administre et quelle version est en service.
• Faire comparer la version et les fonctions activées aux avis CERT-FR et aux bulletins officiels ; vérifier notamment le planning et les modes d’authentification.
• Préparer une sauvegarde testée de la base et des fichiers, vérifier la compatibilité des extensions et planifier une mise à jour vers une branche corrigée.
• Après mise à jour, tester la création des tickets, les notifications, l’accès des utilisateurs, les droits administrateurs et les intégrations.
• Réduire l’exposition inutile de l’interface d’administration et vérifier les comptes privilégiés sans désactiver brutalement un service métier.

Les limites de cette information

Les avis consultés ne démontrent pas qu’une campagne d’attaque cible spécifiquement les artisans, les commerçants ou la Vendée. Ils ne précisent pas quelles entreprises françaises exploitent les versions affectées. Certaines corrections sont spécifiques à une branche ou à une fonction ; un prestataire doit valider la cible de mise à jour selon son environnement. L’existence d’un bulletin ne remplace pas un audit de configuration.

Pour une entreprise qui confie entièrement son informatique à un prestataire, le geste utile consiste à demander une confirmation écrite du contrôle et, si nécessaire, du calendrier de correction. Pour une petite structure qui n’utilise pas GLPI, aucune installation ni migration n’est justifiée par cette actualité.