Contact
FR
FR EN
FR
FR EN
21.10.26

🚨 Vulnérabilités PHP "php2shell" (CVE-2026-109618 & CVE-2026-109619) : Quel impact pour votre serveur GLPI ?

Le 21 octobre 2026 à 14h00 UTC, l'équipe de développement PHP a publié des mises à jour de sécurité critiques corrigeant deux vulnérabilités majeures, référencées sous les noms de CVE-2026-109618 et CVE-2026-109619 (communément appelées « php2shell »).

Des détails techniques complets concernant ces failles, leur impact potentiel sur la sécurité et les solutions de contournement recommandées peuvent être trouvés dans l'annonce officielle de PHP.net.

Voici une analyse détaillée de ce que cet avis de sécurité implique pour votre infrastructure ITSM et comment sécuriser vos instances GLPI.

🔒 Quel est l'impact direct sur GLPI ?

Points clés à retenir :

  • GLPI n'est pas directement affecté : Le code source principal de GLPI ne contient pas ces failles de sécurité.
  • Vos serveurs hôtes sont concernés : GLPI s'exécutant sur un environnement PHP, tout serveur hébergeant GLPI est vulnérable tant que le moteur PHP du serveur n'a pas été mis à jour, quelle que soit la version de GLPI utilisée.
  • Mettre à jour GLPI seule ne suffit pas : La mise à jour doit impérativement porter sur l'environnement PHP de votre serveur.

☁️ Vous utilisez GLPI Network Cloud ?

Aucune action n'est requise de votre part.

Nos équipes Sécurité et Infra ont appliqué les correctifs sur l'ensemble de la plateforme dès la publication de l'alerte. Depuis le 21 octobre 2026 à 14:00 UTC, toutes les instances GLPI Cloud s'exécutent sur une version corrigée de PHP. Nos analyses n'ont révélé aucun signe d'exploitation.

🏢 Vous hébergez GLPI vous-même (On-Premises) ?

Suivez ces étapes dès que possible pour sécuriser votre serveur web :

  1. Vérifiez la version PHP active de votre serveur web : Dans GLPI, accédez à Configuration > Général > Système. (Remarque : La commande en ligne de commande php -v vérifie la version de l’interface de ligne de commande, qui peut différer du moteur PHP utilisé par votre serveur web ou le service PHP-FPM).
  2. Apply the PHP update based on your environment:
    • Official Source Packages: Refer to the official PHP.net announcement.
    • Linux Distribution Packages (Debian, Ubuntu, Red Hat, etc.): Follow your distribution's security advisories, as security fixes are often backported without incrementing the primary version number.
    • Containers and Managed Hosting: Deploy updated base images or follow your provider’s security instructions.
  3. Redémarrez vos services web :Redémarrez votre serveur web (Apache, Nginx) ou PHP-FPM gestionnaire de pool pour charger les binaires PHP patchés en mémoire.
  4. Versions PHP non prises en charge (fin de vie) : Les anciennes versions de PHP ne recevront plus les correctifs de sécurité des fournisseurs. Consultez la liste des versions PHP prises en charge. Avant de mettre à niveau votre environnement d'exécution PHP vers une version majeure plus récente, vérifiez la configuration système requise dans la Documentation GLPI.

⚠️ Mesures temporaires et détection de compromission

Si vous ne pouvez pas appliquer immédiatement le patch PHP :

  • Fiez-vous exclusivement aux sources officielles (bulletin PHP.net, avis de sécurité de votre distribution Linux ou de votre hébergeur) pour appliquer d'éventuels contournements temporaires.
  • Pour vérifier si un serveur a été ciblé ou compromis, appuyez-vous sur les indicateurs de compromission (IoC) fournis par votre équipe SecOps ou votre fournisseur d'infrastructure.
  • En cas de doute ou de suspicion d'intrusion, contactez immédiatement votre équipe Sécurité Informatique.

Vous utilisez les images Docker officielles de GLPI

Nous avons reconstruit les images Docker officielles GLPI pour les versions main, 12, 11 et 10 : elles incluent désormais une version corrigée de PHP.

Pour appliquer cette mise à jour, récupérez la nouvelle image et recréez vos conteneurs, par exemple avec `docker compose pull` suivi de `docker compose up -d`. Redémarrer un conteneur existant ne suffit pas : il continuera d’utiliser l’ancienne image. Vos données restent en sécurité si elles sont stockées dans des volumes, comme indiqué dans la configuration recommandée.

🔗 Ressources utiles :

Lisez l'Annonce officielle de sécurité PHP

Vous aimerez peut-être aussi ces articles

21.10.26
On October 21, 2026, at 14:00 UTC, the PHP development team released critical security updates addressing two major vulnerabilities, tracked as CVE-2026-109618 and CVE-2026-109619 (commonly referred to as "php2shell"). Full technical details regarding these flaws, their potential security impact, and recommended workarounds can be found in the official PHP.net announcement. Here is a breakdown of what this security advisory means for your ITSM infrastructure and how […]
19.10.26
Nous sommes heureux d'annoncer la sortie officielle du plugin GLPI AI 2.0. Cette nouvelle version est une réécriture complète du plugin d'intelligence artificielle de GLPI. Basée sur le bundle Symfony AI, elle a été conçue pour offrir une assistance fluide, autonome et personnalisable, au cœur du travail quotidien des équipes de support.
ARSEAA est une association française à but non lucratif de 1 800 employés, active dans les secteurs médico-social, de la santé, social et de la formation. Elle gère désormais le support informatique et la maintenance des bâtiments sur une instance GLPI unique, hébergée sur GLPI Network Cloud Private en France. L’outil a d’abord été déployé pour résoudre des problèmes de maintenance sur un site. Voici comment […]
12.10.26
Félicitations ! Nous sommes heureux d’annoncer notre nouveau partenaire Silver du réseau GLPI au Royaume-Uni : Infotel UK. Infotel est bien connu de la communauté GLPI. L’entreprise collabore avec GLPI depuis 2006 et est déjà partenaire Platine du réseau. Grâce à ce nouveau partenariat Silver, Infotel UK met directement son expérience à profit […]
08.10.26
GLPI-Agent 1.21 est disponible. Vous pouvez le télécharger sur le projet GitHub de GLPI Agent : https://github.com/glpi-project/glpi-agent/releases/tag/1.21. Correction d'une régression : Cette version est publiée plus tôt que prévu afin de corriger une régression introduite dans la version 1.20. Améliorations : Cette version inclut également quelques améliorations. Vous pouvez consulter le détail des modifications dans le journal des modifications officiel en ligne, disponible ici : https://github.com/glpi-project/glpi-agent/blob/1.21/Changes. Concernant le packaging, […]
07.10.26
GLPI 12 est la dernière version majeure de la solution ITSM open source. Elle introduit une base de connaissances entièrement repensée, offre aux administrateurs un meilleur contrôle des sessions utilisateur actives et garantit que les échéances internes sont automatiquement appliquées à l'équipe responsable. Cette version renforce également la sécurité de la plateforme, sans configuration supplémentaire. Dans cet article, nous […]
06.10.26
Qu’est-ce que le protocole SCIM (System for Cross-domain Identity Management) ? L’automatisation de la gestion des identités est devenue une priorité absolue pour toute entreprise qui ajoute régulièrement des applications métier. Cet article présente les points essentiels du protocole SCIM : sa définition, son fonctionnement technique, les avantages concrets qu’il apporte aux équipes informatiques et sa comparaison avec d’autres protocoles.
05.10.26
La sortie de GLPI 12 est prévue pour octobre 2026. Conformément à notre modèle de support, qui couvre systématiquement les deux dernières versions majeures, cette version marquera la fin du support de GLPI 10. Conséquences pour votre instance : une fois GLPI 12 disponible, les instances exécutant encore GLPI 10 ne bénéficieront plus des avantages suivants : l’exécution d’une version non prise en charge […]
01.10.26
En raison d'une régression non détectée, GLPI 11.0.10 se bloque lors du chargement de certains plugins. La version 11.0.11 a été publiée pour corriger ce problème. Nous recommandons à tous les utilisateurs de mettre à jour dès que possible.
30.09.26
Les versions 11.0.10 et 10.0.28 corrigent plusieurs failles de sécurité récemment découvertes. La mise à jour est fortement recommandée ! Remarque importante : avec la sortie prochaine de GLPI 12.0.0, la version 10.0.28 sera la dernière version de la branche 10.0, qui ne bénéficiera plus de correctifs. De nombreux correctifs ont également été apportés ; consultez le journal des modifications pour plus d’informations.
29.09.26
Les demandes se perdent dans plusieurs boîtes mail, les délais de réponse s'allongent et personne ne sait qui s'occupe de quoi ? C'est le signe qu'il est temps de structurer votre support avec un outil de gestion des tickets adapté. GLPI est l'outil open source qui centralise la gestion des tickets de votre service client et votre inventaire informatique.
24.09.26
Une nouvelle version de l'agent GLPI est disponible ! GLPI-Agent 1.20 est publié. Vous pouvez le télécharger sur le projet GitHub de l'agent GLPI : https://github.com/glpi-project/glpi-agent/releases/tag/1.20. Vous pouvez consulter le détail des modifications dans le journal des modifications officiel en ligne, disponible ici : https://github.com/glpi-project/glpi-agent/blob/1.20/Changes. Cette nouvelle version corrige les problèmes de sécurité suivants : Nous vous encourageons vivement à mettre à jour vos agents. Corrections de bogues […]
23.09.26
Congratulations! We are happy to announce our new Silver GLPI Network partner in China: KNX Innovation Limited. With more than 15 years of experience in enterprise system architecture and integration, KNX Innovation Limited helps organizations modernize their business applications and transform their enterprise systems. The team has solid implementation experience on major platforms such as […]
Giesecke+Devrient (G+D), headquartered in Munich, designs security technologies used in banknote counting machines, passports, and other security products worldwide. With more than 14,000 employees, 40 countries, and 123 subsidiaries and joint ventures, the company relies on a central IT team in Munich supported by local colleagues in India, Singapore, Canada, and numerous production sites around […]
22.09.26
Congratulations! We are pleased to announce our new Silver GLPI Network partner in India: RecoChain We are excited to welcome our new Silver GLPI Network partner in India: RecoChain. RecoChain is a digital transformation partner that combines software with expert services, helping businesses build and deploy autonomous AI applications quickly. The company brings deep expertise in cybersecurity […]
18.09.26
On Sunday, September 6, the GLPI team took part in the 10 km du Trocadéro in Paris, one of the city's classic urban races, with a route offering a stunning view of the Eiffel Tower along the way. Running for ARSLA Beyond the physical challenge, the team ran in support of ARSLA (Association pour la […]
Industrializing support for 7,000 users Hexafret, a rail freight subsidiary of SNCF, runs support for 4,000 employees and around 7,000 internal and external users while helping the country avoid the emission of more than 1 million tonnes of CO2 and over 1 million long-distance trucks on the road every year. Behind that operation, the support […]
16.09.26
Two new GLPI versions are now available! We've just released GLPI 11.0.9 and GLPI 10.0.27 to patch several critical security vulnerabilities.We strongly advise upgrading your instances as soon as possible! GLPI 11.0.9 changelog: https://github.com/glpi-project/glpi/milestone/91?closed=1GLPI 10.0.27 changelog: https://github.com/glpi-project/glpi/milestone/90?closed=1 Get the updates here: https://github.com/glpi-project/glpi/releases You will find below the list of security issues fixed in theses bugfixes […]
08.09.26
We are pleased to announce the availability of OAuth authentication in GLPI Android Inventory Agent 1.9.0. This new feature enhances the security of Android deployments by providing a modern, dedicated authentication mechanism specifically designed for inventory operations. More Secure and Dedicated Authentication With this new version, administrators can configure a dedicated OAuth client for GLPI Android Inventory Agent, […]
07.09.26
GLPI 12 has now reached the Release Candidate stage. This means no more new features will be added; the focus is now on bug fixing, and completing translations. The version is feature-ready, and we’re very close to the stable release. GLPI 12 stable will be released in October 🎉 You can already explore what’s coming in this […]
1 2 3 … 21
chevron-droit
LinkedIn Facebook Pinterest YouTube rss Twitter instagram facebook-vide rss-vide linkedin-vide Pinterest YouTube Twitter instagram