- Plusieurs failles ont été découvertes dans GLPI, le logiciel de gestion de parc informatique et de helpdesk très utilisé par les PME.
- Les risques identifiés sont sérieux : prise de privilèges supplémentaires, modification de données et injection SQL.
- Une mise à jour corrective est disponible : appliquez-la dès que possible.
Qu’est-ce que GLPI et pourquoi c’est important ?
GLPI est un outil open source très répandu dans les PME et les collectivités françaises. Il sert à gérer le parc informatique (inventaire des machines, logiciels, contrats) et à traiter les demandes d’assistance des utilisateurs. Beaucoup d’organisations l’exposent sur leur réseau interne, voire sur Internet.
Le 27 juillet 2026, le CERT-FR a publié un avis signalant la découverte de plusieurs vulnérabilités dans ce logiciel.
Quels sont les risques concrets ?
Les failles recensées peuvent permettre à un attaquant de :
- Élever ses privilèges : un utilisateur avec un accès limité pourrait obtenir des droits d’administrateur, et donc accéder à l’ensemble du système.
- Modifier des données : des informations contenues dans GLPI (inventaire, tickets, données utilisateurs) pourraient être altérées sans autorisation.
- Réaliser une injection SQL : une technique qui permet d’interroger ou de manipuler directement la base de données sous-jacente, avec des conséquences potentiellement graves sur la confidentialité des informations stockées.
Beaucoup de PME installent GLPI puis oublient de le maintenir à jour, estimant que c’est un outil « interne » donc peu risqué. Or, si GLPI est accessible depuis Internet ou si un compte est compromis, ces failles deviennent exploitables rapidement.
Si vous ne pouvez pas mettre à jour immédiatement, limitez l’accès à votre instance GLPI : restreignez-la au réseau interne ou via VPN, et vérifiez que les comptes disposent uniquement des droits nécessaires (principe du moindre privilège).
Ce qu’il faut faire concrètement
Vérifiez la version de GLPI installée dans votre organisation et appliquez sans tarder le correctif fourni par l’éditeur. Si la mise à jour est gérée par votre prestataire informatique, contactez-le pour vous assurer qu’elle a bien été effectuée. Consultez l’avis officiel du CERT-FR pour les détails techniques et les versions concernées : CERTFR-2026-AVI-0935.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.