Vulnérabilité critique dans GLPI
.png)
Produits concernés
• GLPI version 11.0.0 à 11.0.8
Prérequis
• Accès réseau à l'application GLPI (endpoint front/planning.php)
Risques
• Exfiltration de données sensibles
• Exploitation d'informations d'identification
Résumé
Une vulnérabilité critique de type "Injection SQL" affectant la solution GLPI a récemment été publiée par une équipe de chercheurs en sécurité le 20 octobre 2026.
Le niveau de criticité initial de cette vulnérabilité serait de 8.1 (score CVSSv3.1 provisoire, en attente de publication officielle).
La solution GLPI permet de gérer le parc informatique et le support utilisateurs (inventaire, tickets, contrats, annuaire).
Aucun id de CVE n’est encore assigné, l’avis de sécurité GHSA-753w-2942-4pxm va bientôt être publié sur Github.
• GHSA-753w-2942-4pxm : Une vulnérabilité dans l’endpoint de planification (front/planning.php) de la solution GLPI pourrait permettre à un attaquant distant non authentifié d'injecter des requêtes SQL arbitraires. L'exploitation de cette vulnérabilité pourrait permettre à l'attaquant de lire l'intégralité de la base de données GLPI, dont les hashs de mots de passe des comptes, la configuration, l'inventaire et le contenu des tickets. La récupération des hashs pourrait ensuite mener à la prise de contrôle d'un compte administrateur. Les versions 10.x ne sont pas impactées.
À l'heure actuelle, aucune trace d'exploitation par des groupes d'attaquants n'a été remontée. Une preuve de concept est toutefois publiquement disponible.
Étant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre pour toute machine exposée sur Internet.
Solutions
Détection de la compromission :
Afin de vérifier si un équipement est compromis, vous pouvez :
• Rechercher dans les journaux d'accès du serveur web des requêtes vers /front/planning.php contenant simultanément les paramètres genical et checkavailability
• Rechercher dans ces requêtes des valeurs anormales pour les paramètres begin et end (apostrophes, mots-clés SQL tels que SELECT ou SLEEP)
• Vérifier l'absence de connexions inhabituelles sur les comptes administrateurs GLPI
Remédiation
Mettre à jour GLPI vers la version :
• 11.0.9 ou ultérieure
Mitigation
Aucune mitigation officielle n'est disponible. La mise à jour est la seule mesure corrective.
Restez informés des dernières menaces !
Recevez les alertes de sécurité critiques et nos conseils pour protéger votre entreprise.
