- Plusieurs vulnérabilités ont été identifiées dans GLPI, l’outil de gestion de parc informatique et helpdesk très utilisé par les PME.
- Ces failles pourraient permettre à un attaquant d’accéder à des données confidentielles, d’injecter du code malveillant à distance (XSS) ou de contourner des règles de sécurité.
- Le CERT-FR recommande d’appliquer les correctifs disponibles dès que possible.
Ce qui se passe
Le CERT-FR a publié le 7 octobre 2026 un avis signalant plusieurs vulnérabilités dans GLPI. Selon cet avis, un attaquant pourrait exploiter ces failles pour :
- Accéder à des données confidentielles : des informations normalement protégées pourraient être exposées.
- Réaliser une injection de code à distance (XSS) : ce type d’attaque consiste à injecter du code malveillant dans des pages web consultées par d’autres utilisateurs, ce qui peut conduire au vol de session ou à la prise de contrôle de comptes.
- Contourner la politique de sécurité : des restrictions ou protections mises en place pourraient être ignorées par un attaquant.
GLPI est un logiciel libre très répandu dans les PME françaises pour gérer le matériel informatique, les tickets d’assistance et les demandes internes. Si votre entreprise l’utilise — que ce soit en interne ou via un prestataire — cet avis vous concerne directement.
Beaucoup de PME pensent que GLPI, utilisé uniquement en interne, n’est pas exposé aux risques extérieurs. Or, si l’interface est accessible depuis internet ou depuis un réseau compromis, les failles de type XSS peuvent être exploitées sans que vous vous en rendiez compte.
Si vous ne gérez pas GLPI vous-même mais qu’un prestataire le fait pour vous, contactez-le dès aujourd’hui pour lui demander si la mise à jour a bien été appliquée. N’attendez pas qu’il revienne vers vous spontanément.
Ce qu’il faut faire concrètement
Vérifiez quelle version de GLPI est installée dans votre structure et rapprochez-vous de votre responsable informatique ou de votre prestataire pour appliquer les correctifs publiés par l’éditeur. Consultez directement l’avis officiel du CERT-FR pour connaître les versions concernées et les mesures recommandées : CERTFR-2026-AVI-1269.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.