Cybersécurité
GLPI : mettez à jour l’outil qui connaît tout votre parc
Les faits
L’éditeur a publié le 26 octobre sept bulletins de sécurité, repris le lendemain par le CERT-FR dans l’avis CERTFR-2026-AVI-1389. Les risques annoncés : atteinte à l’intégrité des données, contournement de la politique de sécurité, injection de code indirecte (XSS) et injection SQL. Deux bulletins retiennent particulièrement mon attention :
| Faille | Gravité (CVSS v4) | Conditions | Versions corrigées |
|---|---|---|---|
| Contournement de la double authentification via la réinitialisation du mot de passe | 8,6 élevée | Vol du jeton de réinitialisation, action de la victime | 11.0.9 |
| Authentification X509 réussie avec un certificat non vérifié | 7,5 élevée | Authentification X509 activée et Apache configuré en « optional_no_ca » | 11.0.9 et 10.0.27 |
Toutes les branches antérieures à 10.0.27, et la branche 11 avant 11.0.9, sont concernées par au moins une partie des failles.
Pourquoi j’en parle ici
GLPI est partout en France : collectivités, hôpitaux, PME, prestataires de maintenance. Et dans beaucoup d’organisations, il ne contient pas que les PC du service comptable. On y retrouve l’inventaire des équipements réseau, des enregistreurs vidéo, des centrales de contrôle d’accès ou des automates, avec leurs adresses IP, leurs emplacements et parfois des informations de connexion consignées dans les fiches ou les tickets.
Pour un attaquant, c’est une carte au trésor. 🙂 Un compte compromis dans GLPI, c’est la liste complète des cibles intéressantes et l’historique des interventions. Le contournement de la double authentification est donc loin d’être anodin : c’est précisément la protection qu’on ajoute pour ce genre d’outil.
Ce que je recommande
- Mettre à jour vers 11.0.9 ou 10.0.27 selon votre branche, après une sauvegarde de la base et des fichiers.
- Vérifier la configuration X509 si vous l’utilisez : le mode Apache « optional_no_ca » doit disparaître au profit de « optional » ou « required », comme l’indique l’éditeur.
- Ne pas exposer GLPI sur Internet sans nécessité. Si des prestataires doivent y accéder, passez par un VPN ou un portail d’accès sécurisé.
- Sortir les mots de passe des fiches et des tickets. Les identifiants des équipements de sûreté et de GTB ont leur place dans un coffre-fort de mots de passe, pas dans un champ commentaire.
- Surveiller les journaux de connexion et les demandes de réinitialisation de mot de passe inhabituelles dans les jours qui viennent.
Le lien avec NIS2
Pour les entités concernées par NIS2, l’outil d’inventaire fait partie du socle : on ne gère pas des vulnérabilités sans savoir ce qu’on possède. Mais cet outil doit lui-même être traité comme un actif sensible, avec mises à jour suivies, accès restreints et journalisation. C’est un piège classique de protéger tout le parc et d’oublier l’outil qui le décrit.
Mon avis
GLPI est un excellent outil, et sa réactivité sur ces correctifs est plutôt rassurante. Mais un outil de gestion de parc concentre des informations très sensibles, surtout quand il décrit aussi les systèmes de sûreté et la GTB. Une mise à jour cette semaine, c’est une heure de travail bien investie.