GLPI : corriger la branche 10 ou 11 sans confondre mise à jour et migration
Le CERT-FR vise GLPI avant 10.0.28 et les versions 11.0.x avant 11.0.10. Vérifiez la branche de votre installation et la prise en charge du correctif.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Vous gérez GLPI pour les demandes d’assistance ou le parc informatique ? L’avis CERT-FR du 3 novembre distingue deux branches : les versions antérieures à 10.0.28, et les versions 11.0.x antérieures à 11.0.10. Le premier contrôle consiste à identifier la branche installée. Le bulletin ne demande pas de transformer chaque correction de sécurité en migration vers GLPI 11.
Deux repères, pas une version unique pour toutes les installations
CERTFR-2026-AVI-1444 renvoie à trois avis GLPI du 2 novembre. Il énumère des risques d’élévation de privilèges, d’injection de code dans les pages (XSS) et de contournement de la politique de sécurité. La liste des systèmes affectés donne « versions antérieures à 10.0.28 » et « versions 11.0.x antérieures à 11.0.10 ».
Ces deux lignes ne sont pas interchangeables. Si votre service reste sur la branche 10, faites confirmer le correctif prévu pour cette branche plutôt que d’imposer une migration majeure en urgence. Si vous utilisez GLPI 11.0.x, contrôlez sa propre borne et le paquet effectivement déployé.
| Branche contrôlée | Repère de l’avis CERT-FR |
|---|---|
| GLPI avant 10.0.28 | 10.0.28 |
| GLPI 11.0.x avant 11.0.10 | 11.0.10 |
Faire confirmer la mise à jour du service, pas seulement celle de l’agent
Demandez à la personne qui exploite GLPI de confirmer sa version, la méthode de mise à jour et la sauvegarde récupérable des données avant intervention. Nos recommandations pratiques sont de contrôler ensuite la connexion, la création d’une demande et les intégrations importantes. Mettre à jour un agent d’inventaire ou une extension ne confirme pas la version de l’application serveur.
Si GLPI est fourni comme service, demandez au prestataire la confirmation du correctif appliqué à votre instance. Ne déduisez pas cette confirmation de la seule disponibilité d’une version sur le site du projet.
Le résumé ne donne pas les conditions de chaque faille
L’avis lu ne détaille pas pour chacune des vulnérabilités les rôles nécessaires, le chemin d’attaque ou une exploitation en cours. Nous n’en déduisons donc ni une attaque sans compte ni une compromission de votre instance. Les liens éditeur ne remplacent pas une lecture de leur contenu ; cette brève reste bornée aux faits du CERT-FR.
SecuFocus n’a pas installé ces versions ni reproduit de faille. La vérification du numéro et le contrôle après intervention sont à effectuer sur votre propre service.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.