GLPI 11.0.8 behebt Remotecodeausführung über den Formularimport und neun weitere Schwachstellen

Was passiert ist

GLPI 11.0.8 behebt zehn Sicherheitslücken. Die schwerwiegendste ist CVE-2026-48482, eine kritische Remotecodeausführung im Formularimport: Ein Benutzer mit Formularadministratorrechten kann eine präparierte Illustrations- oder Szenenkennung importieren, die das vorgesehene Verzeichnis für benutzerdefinierte Assets verlässt, eine Datei an einem ausführbaren Serverpfad ablegt und es ermöglicht, ein schädliches Skript aus der Ferne aufzurufen. Sie ist mit CVSS 4.0 9,4 bewertet.

Die übrigen neun Schwachstellen betreffen Dateibehandlung, Injection, Cross-Site-Scripting und Autorisierung. CVE-2026-47679 ermöglicht es jedem angemeldeten Benutzer, über den Ablauf zum Aktualisieren des Profilbilds die Löschung einer vom Angreifer ausgewählten Serverdatei anzufordern. CVE-2026-53629 ist eine SQL-Injection im Verlauf-Tab, die für einen Benutzer mit READ-Recht auf Protokolle erreichbar ist. CVE-2026-49470 ermöglicht Brute-Force-Angriffe auf den TOTP-Zweifaktor, sobald die primären Anmeldedaten bekannt sind. Das Update behebt außerdem persistentes und reflektiertes Cross-Site-Scripting, Umgehungen der Autorisierung beim Authtype und im Entitätsbereich, unzulässige API-Aktualisierungsvorgänge sowie das Lesen beliebiger Dokumente.

Die CVE-Einträge führen diese Schwachstellen nicht in CISA KEV auf und enthalten keine Angaben zu einer öffentlichen Offenlegung oder aktiven Ausnutzung.

Wer betroffen ist

GLPI ist ein selbst gehostetes Paket für IT-Asset- und Service-Management, das typischerweise für Helpdesk, Asset-Inventarisierung und Änderungsmanagement eingesetzt wird. Betroffen ist selbst gehostetes GLPI.

Die kritische Schwachstelle im Formularimport, das TOTP-Brute-Force-Problem, die reflektierte XSS-Schwachstelle, das API-Updateproblem und mehrere weitere Fehler betreffen GLPI von 11.0.0 bis vor 11.0.8. Die persistente XSS-Schwachstelle betrifft GLPI von 11.0.6 bis vor 11.0.8; das unberechtigte Lesen beliebiger Dokumente betrifft GLPI von 11.0.5 bis vor 11.0.8.

Vier Schwachstellen betreffen auch die 10.0-Linie oder ältere Zweige: das Löschen beliebiger Dateien von 10.0.0 bis vor 10.0.26, eine Rechteausweitung über den Authtype von 0.70 bis vor 10.0.26, eine SQL-Injection von 9.4.0 bis vor 10.0.26 und die unzulässige Aktualisierung der Authentifizierungsmethode von 0.84 bis vor 10.0.26. Die korrigierte Version für die 10.0-Linie ist 10.0.26.

Was jetzt zu tun ist

1. Prüfen Sie Ihre installierte GLPI-Version. Falls Sie GLPI 11.0 vor 11.0.8 einsetzen, aktualisieren Sie auf 11.0.8. Falls Sie GLPI 10.0 vor 10.0.26 einsetzen, aktualisieren Sie auf 10.0.26.
2. Priorisieren Sie jede aus dem Internet erreichbare GLPI-Weboberfläche oder API, da die schwerwiegendsten Schwachstellen über das Netzwerk erreichbar sind.
3. Der GLPI-Sicherheitshinweis nennt keine Workarounds. Falls Sie nicht sofort aktualisieren können, beschränken Sie den Zugriff auf die GLPI-Weboberfläche und die API auf vertrauenswürdige Verwaltungsnetze. Lassen Sie MFA nach Möglichkeit aktiviert. Beachten Sie jedoch, dass CVE-2026-49470 den TOTP-Schutz für Konten schwächt, deren primäre Anmeldedaten bereits kompromittiert sind.
4. Überprüfen Sie nach der Aktualisierung hoch privilegierte Konten, Authentifizierungsmethoden und API-Berechtigungen auf Änderungen, die Sie nicht veranlasst haben.

Über den Patch hinaus

GLPI wird oft als interne Infrastruktur betrachtet, doch dieses Update zeigt, warum es dieselbe Disziplin beim Einspielen von Sicherheitsupdates und dieselbe Überprüfung der Sicherheitsmaßnahmen benötigt wie jede extern bereitgestellte Plattform. Im Rahmen unserer Implementierungs- und Bewertungsleistungen können wir GLPI vor dem nächsten Update einem Penetrationstest unterziehen und härten. Mit Lieferkettenschutz & Drittparteienrisiko unterstützen wir Sie dabei, nachzuverfolgen, welche Versionen von GLPI und anderer Software Sie einsetzen und wie schnell Sie die damit verbundenen Angriffszeitfenster schließen.