CERTFR-2026-AVI-1389 : GLPI exposé à l'injection SQL sans authentification — collectivités en alerte

Les faits

Le 27 octobre 2026, le CERT-FR de l'ANSSI a publié l'avis CERTFR-2026-AVI-1389 signalant de multiples vulnérabilités dans GLPI, l'outil de gestion de parc informatique et de tickets open source développé par Teclib et massivement déployé dans les collectivités territoriales, les établissements de santé, les universités et les PME françaises. Les correctifs — versions 10.0.27 et 11.0.9 — étaient disponibles depuis le 16 septembre 2026, mais le CERT-FR a jugé nécessaire de réémettre une alerte explicite six semaines plus tard. Ce délai est un signal fort : le taux de mise à jour reste insuffisant dans les infrastructures françaises.

Parmi les vulnérabilités corrigées, la plus critique est une injection SQL sans authentification affectant la fonctionnalité de planification de GLPI. Cette faille permet à un attaquant non authentifié — sans compte utilisateur sur l'instance — d'envoyer des requêtes HTTP spécialement forgées vers l'endpoint de planification et d'injecter des commandes SQL arbitraires dans la base de données sous-jacente. Selon les bulletins techniques de l'éditeur publiés le 26 octobre 2026, la faille est exploitable sur toutes les instances GLPI dont l'interface Web est accessible depuis un réseau quelconque, sans aucune authentification préalable.

La gravité de cette injection SQL réside dans ses conséquences potentielles. La base de données GLPI contient typiquement des inventaires complets du parc informatique — matériels, logiciels, configurations réseau —, l'annuaire des utilisateurs avec leurs emails et parfois des hashs de mots de passe, tous les tickets d'incident avec leur historique, et dans certains déploiements, des configurations d'accès à distance utilisées pour les interventions de support. Un attaquant qui accède en lecture à cette base dispose d'un plan complet de l'infrastructure cible.

Au-delà de l'injection SQL, le lot de correctifs comble également des vulnérabilités XSS stockées permettant l'exécution de JavaScript malveillant dans le navigateur d'un administrateur GLPI, ainsi qu'une faille d'authentification permettant dans certaines configurations de contourner la validation de session. Ces vulnérabilités secondaires, nécessitant une interaction utilisateur ou un accès authentifié préalable, complètent un tableau préoccupant pour les déploiements non mis à jour.

GLPI est particulièrement répandu dans la sphère publique française. Les collectivités territoriales — mairies, conseils départementaux, régions —, les établissements publics de santé, les universités et grandes écoles, et les PME industrielles sont les principaux utilisateurs. La réémission de l'alerte CERT-FR six semaines après la sortie des correctifs suggère que le taux d'adoption reste insuffisant pour limiter le risque global.

Les bulletins techniques publiés par l'éditeur le 26 octobre 2026 répertorient précisément les endpoints vulnérables. Ces informations, une fois rendues publiques, constituent de facto une feuille de route pour les attaquants cherchant à automatiser l'exploitation contre des instances GLPI non patchées. La fenêtre d'exposition se réduit dangereusement à mesure que des scripts d'exploitation circulent dans les forums spécialisés.

Il est important de noter que le CERT-FR précise dans CERTFR-2026-AVI-1389 qu'aucune compromission d'organisme français n'a été déterminée à ce stade. Cependant, l'absence de compromission confirmée ne signifie pas l'absence d'exploitation — elle reflète ce qui a été détecté et rapporté aux autorités. Les incidents impliquant GLPI dans des collectivités locales sont historiquement sous-déclarés, les équipes IT concernées ayant souvent des capacités de détection limitées.

Pour les organismes soumis à NIS2 ou à des obligations de sécurité sectorielles, l'application des correctifs GLPI dans les délais recommandés par le CERT-FR relève d'une obligation de conformité. Les audits NIS2 vérifient systématiquement les délais de patching sur les outils de gestion critique. Une instance GLPI non patchée six semaines après un avis CERT-FR constitue un écart de conformité documentable lors d'un contrôle.

Impact et exposition

Tout déploiement GLPI accessible depuis un réseau non cloisonné — Internet, réseau de partenaires, réseau étendu de collectivité — en version antérieure à 10.0.27 ou 11.0.9 est directement exposé à l'injection SQL sans authentification. Les organisations les plus à risque sont celles ayant exposé GLPI sur Internet pour permettre aux utilisateurs d'accéder aux tickets depuis l'extérieur — usage courant en collectivité et en établissement de santé. Les déploiements en intranet uniquement sont moins exposés mais non immunisés face à un attaquant ayant déjà une présence dans le réseau.

Recommandations

• Mettre à jour GLPI vers la version 10.0.27 (branche 10.x) ou 11.0.9 (branche 11.x) sans délai
• Si la mise à jour immédiate est impossible : désactiver l'accès externe et placer l'instance derrière un VPN ou une liste blanche IP stricte
• Analyser les logs d'accès HTTP aux endpoints de planification pour identifier des requêtes contenant des caractères SQL caractéristiques (UNION, SELECT, OR 1=1)
• Vérifier l'intégrité de la base GLPI : tables d'utilisateurs, comptes créés à des dates ou heures anormales
• Changer les mots de passe des comptes GLPI administrateurs et auditer les délégations de droits