CVE-2026-48482 : GLPI RCE Form import CVSS 9.4 — CERT-FR

Les faits

La vulnérabilité CVE-2026-48482 a été divulguée le 26 octobre 2026 avec la publication des versions de sécurité GLPI 11.0.8 et 10.0.26, alertée par le CERT-FR via l'avis CERTFR-2026-AVI-0675. Cette faille critique, notée CVSS 9.4 selon le vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H, permet à un administrateur de formulaires malveillant ou compromis de déclencher une exécution de code arbitraire à distance sur le serveur hébergeant GLPI. GLPI (Gestionnaire Libre de Parc Informatique) est une solution open source ITSM massivement déployée en France dans les collectivités territoriales, administrations publiques, hôpitaux et entreprises privées.

Le mécanisme d'exploitation repose sur un manque de validation des chemins de fichiers lors de l'import de formulaires GLPI. La fonctionnalité d'import permet de charger des configurations de formulaires incluant des illustrations ou des identifiants de scènes (scene identifiers). En manipulant ces paramètres avec des séquences de traversée de répertoire de type ../ (directory traversal), un attaquant peut diriger l'écriture de fichiers vers des répertoires situés en dehors du répertoire custom-asset prévu par l'application, notamment vers des répertoires accessibles par le serveur web (Apache, Nginx ou PHP-FPM).

Une fois qu'un attaquant peut écrire un fichier arbitraire dans un répertoire exécuté par le serveur web, il peut placer un webshell PHP dans le répertoire racine de GLPI ou dans un sous-répertoire web-accessible. L'exécution de ce webshell est déclenchée par une simple requête HTTP. Ce type d'attaque conduit à une exécution de code avec les droits du processus web (typiquement www-data sous Linux), ce qui permet ensuite des actions supplémentaires d'élévation de privilèges sur le système hôte. La combinaison path traversal + webshell upload est l'une des chaînes d'exploitation les plus redoutables dans les environnements web.

GLPI maintient deux branches en parallèle : la branche 10.x (Long-Term Support) et la branche 11.x (Current). La vulnérabilité CVE-2026-48482 affecte la branche 11 de GLPI versions 11.0.0 à 11.0.7 incluses. Le correctif a été intégré dans GLPI 11.0.8, publié simultanément avec GLPI 10.0.26 le 26 octobre 2026. Ces deux versions sont qualifiées de « security releases » par l'équipe de développement du projet GLPI sur son blog officiel. La base de données OSV (Open Source Vulnerabilities) et le tracker Vulners enregistrent cette CVE sous CVELIST:CVE-2026-48482.

CVE-2026-48482 n'est pas la seule vulnérabilité critique corrigée dans cette mise à jour groupée. Les versions GLPI 11.0.8 et 10.0.26 corrigent au total 16 vulnérabilités, dont deux classées critiques : CVE-2026-48482 (RCE) et CVE-2026-52848 (contournement de l'authentification multi-facteurs — MFA bypass). Les 14 autres failles incluent des injections SQL (CVE-2026-47678), des traversées de chemins (CVE-2026-47679, CVE-2026-45819), des élévations de privilèges (CVE-2026-45801) et des vulnérabilités XSS stockées. La surface d'attaque de cette version de GLPI est donc particulièrement étendue.

Le CERT-FR a émis l'avis CERTFR-2026-AVI-0675 alertant sur les vulnérabilités dans GLPI et recommandant une mise à jour urgente. D'après le site IT-Connect.fr, l'annonce de GLPI 11.0.8 souligne explicitement la criticité des corrections apportées. Le forum officiel GLPI-Project a également publié une note de sécurité spécifique (viewtopic.php?id=294704) pour avertir la communauté. L'avis CERT-FR mentionne également des vulnérabilités XSS et de suppression arbitraire (CVE-2026-40108, CVE-2026-42318, CVE-2026-42321) dans des versions antérieures.

GLPI est massivement déployé dans les organismes publics français. Selon les données de déploiement publiées par le projet, plus de 200 000 organisations dans le monde utilisent GLPI, avec une proportion importante en France — collectivités, hôpitaux, ministères, universités, centres de formation. La combinaison d'une faille RCE (CVE-2026-48482) et d'un bypass MFA (CVE-2026-52848) dans la même version représente un risque systémique pour toute infrastructure reposant sur GLPI comme outil ITSM. Un attaquant compromettant un compte administrateur GLPI puis enchaînant l'exploitation de CVE-2026-48482 pourrait pivoter vers l'ensemble de l'infrastructure IT gérée par l'outil : parcs d'équipements, tickets de support, assets sensibles.

Aucune exploitation active dans la nature (exploitation in-the-wild) n'a été confirmée à la date de publication du 1er novembre 2026. Cependant, la criticité du score CVSS 9.4, la popularité de GLPI notamment dans le secteur public français, et la disponibilité du code source open source facilitent l'analyse de la faille par des chercheurs en sécurité et des acteurs malveillants. Il est probable qu'un PoC ou exploit public apparaisse dans les prochains jours. GLPI étant souvent exposé sur des interfaces web accessibles depuis Internet sans restriction d'accès stricte, le risque d'exploitation reste très élevé.

Impact et exposition

CVE-2026-48482 nécessite des droits d'administrateur de formulaires (PR:H dans la notation CVSS) pour être exploitée. Cela signifie que l'attaquant doit soit disposer de credentials administrateur GLPI, soit avoir préalablement compromis un compte avec ces droits. Cette condition réduit légèrement le risque d'exploitation directe depuis Internet, mais reste critique dans des scénarios d'attaque internes, de phishing d'administrateurs GLPI, ou de compromission de comptes via force brute sur des instances GLPI exposées sans protection MFA.

Le score d'impact SC:H/SI:H/SA:H (impact élevé sur la confidentialité, l'intégrité et la disponibilité du système hôte) indique que l'exploitation dépasse le périmètre de GLPI lui-même et affecte le serveur sous-jacent. Dans les déploiements où GLPI est hébergé sur un serveur mutualisé ou dans un cloud partagé, une exploitation réussie pourrait permettre une évasion et une compromission d'autres applications hébergées sur le même hôte.

La vulnérabilité CVE-2026-52848 (bypass MFA) publiée simultanément crée un scénario de chaîne d'attaque particulièrement redoutable : un attaquant disposant de credentials GLPI obtenus par phishing ou force brute peut contourner la vérification MFA via CVE-2026-52848, puis exécuter du code arbitraire sur le serveur via CVE-2026-48482. Cette combinaison élève le niveau de risque à un niveau critique et justifie une priorité maximale pour la mise à jour, y compris en dehors des fenêtres de maintenance habituelles.

Recommandations immédiates

• Mettre à jour immédiatement vers GLPI 11.0.8 (branche 11) ou GLPI 10.0.26 (branche 10) — GLPI Security Release publiée le 26 octobre 2026
• Si la mise à jour immédiate est impossible : désactiver la fonctionnalité d'import de formulaires dans l'interface d'administration GLPI
• Restreindre l'accès à l'interface d'administration GLPI par liste blanche IP ou VPN obligatoire
• Auditer les logs GLPI pour détecter des tentatives d'import de formulaires avec des paths inhabituels avant la mise à jour
• Inspecter le répertoire custom-asset GLPI et les répertoires web accessibles pour détecter d'éventuels webshells déposés
• Appliquer également le patch pour CVE-2026-52848 (bypass MFA) — inclus dans la même version GLPI 11.0.8 / 10.0.26