📰 Contexte

Source : IT-Connect (it-connect.fr), publié le 2 octobre 2026 par Florian Burnel. L’article couvre la publication par Teclib’ de nouvelles versions correctives de GLPI, logiciel open source de gestion de parc informatique et helpdesk, deux semaines après une précédente salve de correctifs.

🗓️ Chronologie des publications

  • 30 septembre 2026 : Publication de GLPI 11.0.10 et GLPI 10.0.28 sur GitHub
  • 1er octobre 2026 : Publication de GLPI 11.0.11 en remplacement de 11.0.10, qui introduisait une régression bloquant le chargement de certains plugins

🔐 Vulnérabilités corrigées

Failles communes à GLPI 10 et GLPI 11 (5 vulnérabilités)

  • Contournement des autorisations dans les actions en masse (importante) : contrôle défaillant permettant d’agir au-delà de ses droits
  • Élévation de privilèges via le clonage d’utilisateurs (importante) : obtention de droits supérieurs par détournement du clonage de compte
  • Contrôle des droits insuffisant lors de la suppression d’utilisateurs (importante) : suppression de comptes sans autorisation adéquate
  • Énumération des noms d’utilisateurs via le planning (modérée) : récupération d’identifiants valides facilitant des attaques par brute force
  • Contrôles d’autorisation manquants dans le planning (modérée) : second problème de droits dans la même fonctionnalité

Failles propres à GLPI 11 (3 vulnérabilités)

  • Injection SQL via la question « Acteurs » des formulaires (importante) : critères de filtrage intégrés sans contrôle à la requête SQL dans le moteur de formulaires natif de GLPI 11
  • Désactivation ou modification du 2FA d’utilisateurs plus privilégiés (importante) : intervention possible sur l’authentification à deux facteurs de comptes à privilèges supérieurs
  • XSS réfléchie dans le widget de résultats de recherche du tableau de bord (importante) : exploitation via une requête piégée soumise à la victime

⚠️ Fin de support de GLPI 10

Teclib’ annonce que GLPI 10.0.28 est la dernière version de la branche 10.0, qui ne recevra plus de correctifs de sécurité à compter de la sortie prochaine de GLPI 12.0.0, prévue pour octobre 2026. Les instances restant sur GLPI 10 ne bénéficieront plus des correctifs pour les vulnérabilités découvertes dans le code commun.

📌 Type d’article

Article de presse spécialisée à visée informative, couvrant la publication de correctifs de sécurité et une annonce de fin de cycle de vie d’une branche logicielle.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1059 — Command and Scripting Interpreter (Execution)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)
  • T1087 — Account Discovery (Discovery)
  • T1531 — Account Access Removal (Impact)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

  • ⬜ it-connect.fr — source non référencée (0pts)
  • ✅ 6225 chars — texte complet (fulltext extrait) (15pts)
  • ⬜ aucun IOC extrait (0pts)
  • ⬜ pas d’IOC à vérifier (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.it-connect.fr/glpi-11-0-10-10-0-28-failles-fin-glpi-10/