Zero-day affectant le plugin Fields pour GLPI

Titre	Zero-day affectant le plugin Fields pour GLPI
Numéro de Référence	Numéro de Référence 60830602/26
Date de publication	Date de publication 06 février 2026
Niveau de Risque	Niveau de Risque Critique
Niveau d'Impact	Niveau d'Impact Critique

Systèmes affectés:

Plugin Fields pour GLPI jusqu’à la version 1.23.2 incluse ;

Bilan de la vulnérabilité:

GLPI confirme l’identification d’une vulnérabilité critique de type zero-day affectant le plugin Fields pour GLPI, jusqu’à la version 1.23.2 incluse. Cette faille permet une exécution de code à distance (RCE) et de contourner les mécanismes de sécurité.

Solution:

GLPI confirme que la version 1.23.3 du plugin sera publiée sur son site officiel le jeudi 12 février 2026. Cette mise à jour corrige définitivement la vulnérabilité.

Risque:

Exécution de code arbitraire à distance ;
Contournement de la politique de sécurité ;

Recommandations:

Dans l’attente de la publication de la nouvelle mise à jour de sécurité, le maCERT recommande la mise en œuvre immédiate des mesures suivantes afin de réduire les risques d’exploitation :

Désactiver le plugin Fields sur toutes les instances GLPI affectées.
Limiter l’accès à l’interface GLPI aux seules adresses IP de confiance.
Éviter toute exposition directe d’une instance GLPI sur Internet.
Analyser les logs applicatifs et systèmes afin de détecter des comportements anormaux, des tentatives d’exécution de code, des accès non autorisés ou comptes suspects.
Préparer la mise à jour vers la nouvelle version 1.23.3 du plugin dès sa publication sur le site officiel de GLPI.

Brochure:

Zero-day affectant le plugin Fields pour GLPI.pdf