Le 30 septembre 2026, Teclib a publié trois versions d'un coup : GLPI 12.0.0 RC3, GLPI 11.0.10 et GLPI 10.0.28. Le lendemain, la 11.0.10 a été remplacée par la 11.0.11. Pour qui administre GLPI, la nouvelle la plus importante n'est pas la RC3 : c'est que GLPI 10 a reçu sa dernière mise à jour. Voici ce qui change dans chaque branche et ce qu'il faut faire maintenant.
Vous voulez le panorama complet des nouveautés de GLPI 12 (sécurité, sessions, profils, OLA et base de connaissances) ? Lisez d'abord GLPI 12 RC : ce que nous avons testé et quand mettre à jour.
Le calendrier jusqu'ici
| Jalon | Date |
|---|---|
| GLPI 12.0.0 RC1 | 3 septembre 2026 |
| GLPI 12.0.0 RC2 | 16 septembre 2026 |
| GLPI 12.0.0 RC3 | 30 septembre 2026 |
| GLPI 12.0.0 stable | le jalon 12.0.0 sur GitHub est prévu pour le 6 octobre, avec 10 éléments encore ouverts (au 1er octobre) |
La RC3 garde le même avertissement que les précédentes : c'est une version de test, à ne pas utiliser en production. La date du jalon sur GitHub est un objectif de planification, pas une promesse : Teclib parle d'une sortie en octobre.
Les nouveautés de la RC3
La note de version de la RC3 reprend les points forts de la version 12 : base de connaissances repensée, gestionnaire de sessions, mode de réauthentification (sudo), OLA repensé et sécurité renforcée contre l'injection SQL et le CSRF. La nouveauté de la liste : des progrès en accessibilité.
Entre la RC2 et la RC3, l'essentiel du travail a porté sur des corrections et des finitions. Ce qu'il faut retenir :
Base de connaissances : la refonte se termine
C'est le domaine qui a le plus changé dans la RC3 :
- Nouvelle page d'accueil. La base a gagné un article d'entrée (Home), et le premier niveau d'articles apparaît à côté, et non plus en dessous.
- Les anciens écrans ont disparu. Les pages de liste et de recherche de l'ancienne base de connaissances ont été supprimées. La navigation passe désormais entièrement par l'arborescence latérale de l'article, y compris dans l'interface simplifiée (helpdesk).
- Plus de contrôle sur qui modifie quoi. Seuls les utilisateurs qui peuvent modifier un article peuvent lier, modifier ou supprimer ses documents. Changer le statut d'un élément de la FAQ exige désormais le droit de publier dans la FAQ. Les éditeurs peuvent changer l'auteur d'un article.
- Visibilité corrigée. Les articles enfants respectent la visibilité héritée, et les liens d'articles ne s'affichent plus pour les visiteurs anonymes sans autorisation.
L'avertissement que nous avions déjà donné reste valable, et il figure dans le changelog officiel : lors de la mise à jour, les catégories de la base de connaissances deviennent des articles et restent invisibles jusqu'à ce que l'accès y soit de nouveau accordé. Prévoyez-le dans votre plan de recette.
Autres changements de la RC3
- Notification de tâche de projet. Nouvel événement « Affectation d'une tâche de projet » : le membre ajouté à l'équipe de la tâche est prévenu.
- Actions automatiques. Une action désactivée n'est plus reprogrammée après une exécution manuelle, et GLPI affiche une erreur quand une action a une dernière exécution mais aucune prochaine.
- Sessions et réauthentification. Ajustements du mode sudo et de la validation de session, qui vérifie désormais d'abord les en-têtes de la requête.
- Formulaires. Une réponse « 0 » n'est plus traitée comme un champ vide.
Envie de tester la RC3 ? Utilisez l'image Docker de JMBA
JMBA Soluções publie sur Docker Hub une image GLPI pour chaque version, y compris les release candidates de la 12. Pour la RC3, le tag est 12.0.0-rc3 :
docker pull jmbasolucoes/glpi:12.0.0-rc3
Un environnement de laboratoire complet, avec sa propre base de données, tient dans un docker-compose.yml court :
services:
glpi:
image: jmbasolucoes/glpi:12.0.0-rc3
container_name: glpi-12-rc3
restart: unless-stopped
ports:
- "8080:80"
environment:
TZ: America/Sao_Paulo
volumes:
- ./files:/var/lib/glpi
- ./config:/etc/glpi
- ./plugins:/usr/share/glpi/plugins
- ./marketplace:/usr/share/glpi/marketplace
depends_on:
- db
db:
image: mariadb:11.4
container_name: glpi-12-rc3-db
restart: unless-stopped
environment:
TZ: America/Sao_Paulo
MARIADB_DATABASE: glpi
MARIADB_USER: glpi
MARIADB_PASSWORD: changez_ce_mot_de_passe
MARIADB_ROOT_PASSWORD: changez_le_mot_de_passe_root
volumes:
- ./database:/var/lib/mysql
Ensuite, lancez docker compose up -d et ouvrez http://localhost:8080. Adaptez TZ à votre fuseau horaire.
Trois précautions :
- Laboratoire uniquement. Ne connectez pas cette image à la base de production. Pour tester la mise à jour de vos données, utilisez une copie isolée de la base et des fichiers.
- Vous utilisez déjà la RC2 ? Remplacez le tag dans le compose par
12.0.0-rc3et relancez ; GLPI demande la mise à jour de la base au premier accès. La procédure complète, avec sauvegarde préalable, est dans Comment mettre à jour GLPI sur Docker entre versions. - Première fois avec GLPI sur Docker ? L'installation pas à pas, avec volumes, base de données et premier accès, est dans Comment installer GLPI 11 sur Docker. Le processus est le même pour la 12 ; seul le tag de l'image change. Pour revoir les commandes du quotidien, consultez Docker : bonnes pratiques et commandes les plus utilisées.
GLPI 11 : sautez la 11.0.10 et passez directement à la 11.0.11
GLPI 11.0.10 est sortie le 30 septembre comme version de sécurité, avec huit corrections : six de gravité élevée et deux moyenne. Parmi elles :
- contournement d'autorisation dans les actions massives ;
- élévation de privilèges par le clonage d'utilisateur ;
- injection SQL via la liste des acteurs des formulaires ;
- désactivation ou modification de la 2FA d'utilisateurs ayant plus de privilèges ;
- XSS réfléchi dans le widget de résultats de recherche du tableau de bord.
Le problème : la 11.0.10 a introduit une régression dans le système de plugins, avertissement que Teclib a placé en tête de la note. La correction a annulé une modification de la façon dont GLPI charge les classes des plugins. Le lendemain, 1er octobre, Teclib a publié GLPI 11.0.11, qui contient les mêmes corrections de sécurité et remplace la 11.0.10.
Que faire : si vous utilisez des plugins, n'installez pas la 11.0.10. Passez directement à la 11.0.11. Si vous avez déjà installé la 11.0.10 et qu'un plugin ne fonctionne plus, la solution est la 11.0.11, pas un retour à la 11.0.9, qui n'a pas les corrections de sécurité.
Vous utilisez l'image Docker de JMBA ? Le tag jmbasolucoes/glpi:11.0.11 est déjà sur Docker Hub, et latest pointe vers lui. Faites une sauvegarde, changez le tag dans le compose et relancez, comme expliqué dans Comment mettre à jour GLPI sur Docker entre versions.
GLPI 10 : la dernière version est sortie
La note de GLPI 10.0.28 est claire : avec la sortie de GLPI 12.0.0, la 10.0.28 est la dernière version de la branche 10.0, qui ne recevra plus de corrections. Elle reprend six des corrections de sécurité de la 11 (celles sur la 2FA et le XSS du tableau de bord ne concernent pas la 10).
En pratique, rester sur GLPI 10 à partir de maintenant, c'est utiliser un système qui ne reçoit plus de correctifs de sécurité. Les vulnérabilités découvertes désormais seront corrigées dans la 11 et la 12, pas dans la 10.
Que faire : mettez à jour vers la 10.0.28 dès maintenant pour fermer les failles connues, et planifiez la migration vers GLPI 11. N'attendez pas la 12 : la 11 est stable, et passer de la 10 directement à la 12 cumule deux grosses migrations dans un seul projet. Le pas à pas est dans Comment migrer de GLPI 10 vers GLPI 11.
Que faire maintenant, selon votre version
| Vous êtes sur | Maintenant | Étape suivante |
|---|---|---|
| GLPI 10 | Mettre à jour vers la 10.0.28 | Migrer vers GLPI 11 au plus vite : la 10 ne reçoit plus de corrections |
| GLPI 11 | Mettre à jour vers la 11.0.11 (sauter la 11.0.10) | Tester la 12 après la version stable |
| Vous testez la 12 | Remplacer la RC2 par la RC3, en environnement isolé | Reporter la liste des impacts dans le plan de recette |
Notre recommandation de calendrier pour GLPI 12 ne change pas : recette après la version stable, à partir de novembre, et production seulement après environ deux mises à jour de sécurité de la branche 12, vers janvier ou février 2027. La séquence 11.0.10 puis 11.0.11 de ce mois montre pourquoi : même une version corrective peut casser un plugin, et attendre quelques jours évite d'être le premier à découvrir le problème.
Et les plugins ?
Les plugins ont besoin d'une version pour GLPI 12 : la protection CSRF a changé, et la RC3 a aussi ajusté la façon dont GLPI charge les classes des plugins. Avant la recette, vérifiez la compatibilité de chacun auprès de son éditeur. Voir les critères dans Plugins GLPI : bien choisir sans bloquer la prochaine mise à jour.
NexTool sera compatible avec GLPI 12. Si vous utilisez les modules sur GLPI 11, vous pourrez les conserver lors de la migration vers la 12.
Prochaine étape
Vous allez migrer depuis GLPI 10 ou préparer la 12 ? Parlez à l'équipe. Le catalogue des modules NexTool pour GLPI est sur Plugins pour GLPI.
Relu par l'équipe NexTool Solutions. Informations issues des notes de version officielles de GLPI des 30 septembre et 1er octobre 2026 ; les détails de GLPI 12 peuvent changer d'ici la version stable.
