Alerte sécurité GLPI : une faille critique auditée par le CERT-FR

Si vous utilisez GLPI pour gérer le parc informatique de votre entreprise ou de votre collectivité, il est temps de vérifier la version en production. Le CERT-FR a publié un avis de sécurité indiquant qu'une vulnérabilité permet à un attaquant de contourner la politique de sécurité du célèbre outil open-source.

Qu'est-ce qui est concerné ?

La faille, référencée dans l'avis CERTFR-2025-AVI-0735, concerne GLPI dans sa globalité. Un attaquant, même non authentifié, peut exploiter un défaut de vérification des droits pour accéder à des ressources sensibles ou modifier des paramètres système sans détenir les privilèges requis. En clair : vos inventaires, vos données de configuration réseau ou vos demandes d'incidents peuvent être consultés ou altérés à l'insu de l'équipe IT.

Pourquoi c'est un risque ?

GLPI est souvent installé en frontal et interconnecté avec Active Directory, des bases de données métier ou des supervisionneurs. Une compromission ouvre donc potentiellement la voie à :

• l'exfiltration d'inventaires contenant des adresses IP, numéros de série ou licences ;
• la manipulation de flux d'approvisionnement ou de workflow de validation ;
• une escalade de privilège grâce aux comptes service stockés en base.

Comment réagir dès aujourd'hui ?

1. Repérez chaque instance GLPI (production, recette, pré-production, démonstrations oubliées…).
2. Mettez à jour vers la dernière version publiée par la gouvernance du projet ; le patch est généralement disponible dans les 24 à 48 h suivant l'annonce CERT.
3. Loguez les accès (Web, SQL, API REST) pour détecter toute tentative anormale d'accès à des scripts sensibles.
4. Restreignez l'accès réseau par filtrage IP ou VPN si la solution est exposée sur Internet.

Un rappel salutaire

Cette alerte rappelle que les outils open-source populaires ne sont pas exempts de bogues critiques. Une gouvernance stricite des versions, une veille sécurité active et des tests réguliers de montée de version font partie des bonnes pratiques à adopter pour limiter la surface d'attaque. N'attendez pas le prochain avis du CERT pour planifier votre prochaine maintenance GLPI.

Et vous ? Avez-vous déjà audité toutes les applications open-source présentes dans votre SI ? Partagez vos conseils ou interrogations dans les commentaires !