<p>Le projet GLPI a publié le 27 juillet 2026 huit bulletins de sécurité pour son logiciel de gestion de parc et de helpdesk. Le plus grave permet de...
GLPI est l'un de ces logiciels dont on oublie l'importance parce qu'il fonctionne sans bruit: inventaire du parc informatique, tickets d'assistance, contrats, licences, parfois annuaire des utilisateurs. Beaucoup de PME, d'écoles et de collectivités françaises s'appuient dessus au quotidien. C'est aussi, par construction, une base de données qui décrit toute l'infrastructure de l'entreprise — un objectif de valeur pour un attaquant.
Le 27 juillet 2026, le projet GLPI a publié huit bulletins de sécurité. Le CERT-FR les a relayés le même jour dans son avis CERTFR-2026-AVI-0935. Voici ce que cela implique concrètement, et dans quel ordre agir. Selon l'avis du CERT-FR du 27 juillet 2026, sont exposées les versions de la branche 11.0.x antérieures à 11.0.8, ainsi que toutes les versions antérieures à 10.0.26. Les deux versions correctives sont donc 11.0.8 et 10.0.26.
Un point de calendrier mérite d'être souligné, car il change la nature du risque. D'après le dépôt officiel du projet (consulté le 29 juillet 2026), ces versions correctives sont publiées depuis le 24 juin 2026. Seuls les détails techniques des vulnérabilités ont été divulgués le 27 juillet. Autrement dit, une instance tenue à jour depuis fin juin est déjà protégée. Une instance restée en arrière, elle, se retrouve dans la situation la plus inconfortable: non corrigée, avec une description publique de ses propres faiblesses. La vulnérabilité principale porte la référence CVE-2026-52848. L'éditeur la note 9,2 sur 10 selon l'échelle CVSS v4 et la qualifie de critique dans son bulletin GHSA-hgr8-qvp5-mhch du 27 juillet 2026.
Son principe est simple à comprendre, et c'est ce qui la rend préoccupante. Pendant la phase de connexion, une adresse web spécialement construite permet de sauter l'étape de saisie du code à usage unique. Le second facteur d'authentification — celui que l'on active précisément pour que le vol d'un mot de passe ne suffise pas — cesse de jouer son rôle. Un mot de passe deviné, réutilisé ou récupéré dans une fuite de données redevient alors la seule serrure. Selon l'éditeur, cette faille touche les versions 11.0.0 et suivantes, et se corrige en 11.0.8.
Les sept autres failles
Les autres vulnérabilités publiées le 27 juillet 2026 sont classées par l'éditeur de « modérée » à « élevée ». Telles qu'il les décrit: deux injections SQL (onglet historique et listes déroulantes), une élévation de privilèges via le paramètre authtype de l'interface de programmation (API), une injection de code indirecte stockée dans les fiches fournisseurs et une variante réfléchie dans les tableaux de bord, une suppression de fichiers arbitraire, et un envoi de notifications non autorisé.
Prises isolément, elles paraissent moins spectaculaires. Enchaînées, elles dessinent un scénario classique: accès à un compte de faible privilège, puis élévation, puis extraction de la base. Deux d'entre elles empruntent l'API — un détail à garder en tête pour les recommandations qui suivent. À la date du 29 juillet 2026, ni le CERT-FR ni l'éditeur ne signalent d'exploitation confirmée en conditions réelles, et aucun code d'attaque public n'est mentionné dans ces bulletins. Le CERT-FR a d'ailleurs traité le sujet sous forme d'« avis » et non d'« alerte », ce qui traduit une urgence réelle sans campagne d'attaque observée. Ce statut peut évoluer: il est à revérifier directement sur le site du CERT-FR. 1. Identifier sa version. Elle s'affiche en pied de page de GLPI et dans le menu Configuration. Faites l'inventaire des instances oubliées: serveur de test, ancienne machine virtuelle, instance hébergée chez un prestataire. Ce sont presque toujours celles-là qui posent problème.
2. Mettre à jour sans attendre vers 11.0.8 (branche 11) ou 10.0.26 (branche 10). Ordre indicatif, à valider hors production: sauvegarde de la base de données et du dossier des fichiers, mise à jour sur un environnement de test, puis passage en production. Ces correctifs étant publics depuis fin juin, il ne s'agit pas d'une mise à jour risquée de dernière minute.
3. Si la mise à jour ne peut pas être faite aujourd'hui, réduire l'exposition. GLPI n'a aucune raison d'être joignable depuis l'Internet ouvert: placez-le derrière un VPN ou restreignez l'accès aux adresses IP de l'entreprise. Le contournement de la double authentification ne vaut que pour qui peut atteindre la page de connexion.
4. Ne pas se reposer sur la double authentification tant que la mise à jour n'est pas effectuée, puisqu'elle est contournable sur les versions concernées. Vérifiez que les mots de passe des comptes à privilèges sont robustes et non réutilisés ailleurs.
5. Après la mise à jour, faire le ménage sur les accès. Forcez la déconnexion des sessions en cours, passez en revue la liste des comptes disposant du profil super-administrateur ainsi que leur mode d'authentification (la faille sur le paramètre authtype permettait une élévation de privilèges), et supprimez les comptes inutiles.
6. Regarder les journaux de connexion et du serveur web sur la période récente, en particulier les requêtes inhabituelles vers la page d'authentification et vers l'API. Aucune exploitation n'est confirmée à ce jour, mais un contrôle a posteriori coûte peu. En cas de doute sérieux sur une compromission, faites-vous accompagner par un professionnel et rapprochez-vous de cybermalveillance.gouv.fr.
7. Restreindre l'API si vous ne l'utilisez pas: le plus simple est de la désactiver dans la configuration. Deux des failles publiées passent par elle.
La vraie leçon de ce cas
Elle n'est pas technique. Un mois s'est écoulé entre la mise à disposition des correctifs et la divulgation des détails des failles. Pendant ce mois, une mise à jour de routine aurait suffi à mettre le sujet derrière soi. C'est un rappel utile: les briques métier — GLPI, mais aussi l'ERP, le CRM, l'intranet — méritent le même cycle de mise à jour mensuel que les postes de travail. Désigner en interne une personne abonnée aux avis du CERT-FR coûte quelques minutes par semaine et transforme ce genre d'annonce en simple tâche planifiée plutôt qu'en urgence.
Les éléments techniques mentionnés dans cet article sont donnés à titre indicatif et doivent être validés sur votre propre infrastructure, hors production, avant tout déploiement.
- Avis CERTFR-2026-AVI-0935 du CERT-FR, 27 juillet 2026 (versions concernées et périmètre) — cert.ssi.gouv.fr.
- Bulletins de sécurité du projet GLPI publiés le 27 juillet 2026, dont GHSA-hgr8-qvp5-mhch relatif à CVE-2026-52848 (note de gravité 9,2/10 en CVSS v4, qualification « critique » et versions affectées, telles qu'indiquées par l'éditeur).
- Dépôt officiel du projet GLPI, consulté le 29 juillet 2026, pour la date de publication des versions 11.0.8 et 10.0.26 (24 juin 2026).
- Pour la conduite à tenir en cas de compromission suspectée: cybermalveillance.gouv.fr, et les recommandations de l'ANSSI en matière de sécurisation des applications exposées (cyber.gouv.fr).
Cet article est une synthèse rédactionnelle originale de TICLIC, établie à partir de notre veille de sécurité du 29 juillet 2026. Tous les chiffres cités (note de gravité, numéros de version, dates) proviennent des bulletins de l'éditeur et de l'avis du CERT-FR mentionnés ci-dessus et n'ont pas pu faire l'objet d'une vérification indépendante auprès de ces sources au moment de la rédaction: nous invitons le lecteur à les consulter directement avant toute décision de maintenance. Le statut d'exploitation de ces vulnérabilités est daté du 29 juillet 2026 et peut évoluer; il est à revérifier sur le site du CERT-FR.