GLPI : quatrième avis CERT-FR en dix semaines, le signal d'alerte que les DPO ne peuvent plus ignorer

Le CERT-FR a publié le 22 juillet 2026 un nouvel avis de sécurité visant GLPI, le logiciel open source de gestion de parc informatique et de support utilisé par une large part des collectivités, hôpitaux, universités et PME françaises. Quatre vulnérabilités affectent les versions 11.0.x antérieures à 11.0.8 et toutes les versions antérieures à 10.0.26. C'est le quatrième avis CERT-FR sur ce même logiciel en un peu plus de deux mois — un rythme qui interroge autant la solidité du produit que la vigilance des équipes qui l'exploitent.

Quatre avis en dix semaines : ce qui s'est passé

L'avis CERTFR-2026-AVI-0909, publié le 22 juillet 2026, documente quatre vulnérabilités identifiées dans des bulletins de sécurité de l'éditeur GLPI datés du 21 juillet 2026 (CVE-2026-45801, CVE-2026-53627, CVE-2026-53628 et CVE-2026-55217). Les risques recensés sont classiques mais sérieux pour ce type d'outil : atteinte à la confidentialité des données, atteinte à leur intégrité, et contournement de la politique de sécurité. Aucun correctif détaillé n'est publié directement par le CERT-FR, qui renvoie vers les bulletins de l'éditeur pour la mise à jour vers les versions corrigées.

Ce nouvel avis s'ajoute à une série déjà notable : AVI-0551 le 7 mai, AVI-0609 le 19 mai, puis AVI-0675 le 2 juin, chacun documentant des failles distinctes sur le même produit. En dix semaines, GLPI a donc fait l'objet de quatre avis officiels de l'ANSSI — un score qui place l'outil parmi les cas les plus surveillés du moment par le CERT-FR.

Pourquoi cette accumulation compte pour les DPO

GLPI n'est pas un logiciel périphérique dans la plupart des organisations qui l'utilisent : il concentre des annuaires d'utilisateurs, des inventaires de matériel et des tickets de support qui contiennent fréquemment des données personnelles de salariés, d'agents ou d'usagers. Une atteinte à la confidentialité sur ce type de système engage directement les obligations de l'article 32 du RGPD, qui impose des mesures de sécurité à l'état de l'art, et peut, en cas d'exploitation avérée, déclencher les obligations de notification sous 72 heures prévues à l'article 33. Notre guide sur la gestion d'une violation de données détaille la procédure à suivre si une exploitation est confirmée.

La répétition des avis change aussi la lecture que doit en faire un DPO. Un avis isolé peut se traiter comme un ticket technique parmi d'autres. Quatre avis en deux mois et demi sur le même produit relèvent d'un problème structurel de qualité logicielle ou de cycle de correctifs — et ce constat doit remonter au niveau de la gouvernance des risques, pas rester cantonné à l'équipe infrastructure.

Ce que ça change concrètement pour les organisations

Les actions à mener restent, pour l'essentiel, les mêmes qu'à chaque avis précédent, mais leur urgence augmente avec la fréquence des alertes :

• Inventorier toutes les instances GLPI déployées, y compris celles gérées par un prestataire externe ;
• Migrer sans délai vers les versions corrigées (11.0.8 ou 10.0.26) ;
• Prioriser les instances exposées sur Internet, statistiquement les plus à risque ;
• Auditer les journaux d'accès à la recherche de signes d'exploitation antérieure ;
• Si GLPI est opéré par un sous-traitant, vérifier les clauses de sécurité et de notification de l'article 28 — un scénario que la CNIL a d'ailleurs récemment détaillé pour les incidents survenant chez un prestataire ;
• Documenter chaque décision de correction ou de report, au titre du principe d'accountability.

Pour les entités relevant de NIS 2, cette accumulation de vulnérabilités sur un outil de gestion IT doit également nourrir le registre des risques et, le cas échéant, la notification à l'ANSSI en cas d'incident significatif.

Ce que Leto pense de cette décision

Un avis CERT-FR isolé sur un logiciel largement diffusé n'a rien d'alarmant en soi : c'est le fonctionnement normal de la remontée de vulnérabilités dans l'open source. Quatre avis en dix semaines sur le même produit, en revanche, ne devrait plus être traité comme une succession d'événements indépendants. Nous pensons que les DPO et RSSI ont intérêt à sortir du réflexe « on patche et on attend le prochain avis » pour formaliser un SLA de remédiation propre aux outils à forte fréquence d'alerte, avec un point de gouvernance dédié plutôt qu'un traitement au fil de l'eau. La récurrence est elle-même une donnée de risque.

Sources : CERT-FR, avis CERTFR-2026-AVI-0909, bulletin de sécurité GLPI GHSA-2hf7-pw75-7wcp