NexTool Solutions

Il 12 novembre 2026 il progetto GLPI ha pubblicato le versioni 12.0.2 e 11.0.13, contrassegnate come "security release, upgrading is recommended": versione di sicurezza, aggiornamento consigliato. Correggono cinque vulnerabilità, tutte di gravità alta. Due permettono di prendere il controllo dell'account di un altro utente, una permette di ottenere permessi tramite l'API legacy e un'altra colpisce il server OAuth della nuova API. GLPI 10 non ha ricevuto una nuova versione. È la quarta tornata di sicurezza di GLPI in meno di tre settimane. Di seguito: cosa è stato corretto, spiegato nel linguaggio della gestione IT, chi deve aggiornare, la checklist per oggi e cosa osservare quando usciranno i dettagli tecnici.

Questo articolo usa solo ciò che il progetto ha pubblicato fino al 12 novembre 2026: le note di rilascio e l'elenco delle modifiche su GitHub. Gli avvisi dettagliati di ogni vulnerabilità (i GHSA) non sono ancora usciti. Fino ad allora, nessuno all'esterno sa se richiedono il login, né quali versioni precedenti sono interessate.

In sintesi, per chi ha cinque minuti

Le cinque vulnerabilità, nel linguaggio della gestione IT

La nota ufficiale riporta solo il nome di ogni vulnerabilità. La colonna centrale spiega cosa vuol dire il nome. Quella a destra indica chi deve controllare per primo. Di cosa ha bisogno l'attaccante (login, profilo, accesso alla rete) emergerà solo dagli avvisi dettagliati.

Due delle cinque toccano direttamente le API: quella legacy e quella nuova, con OAuth. Se stai collegando GLPI ad altri sistemi, come abbiamo mostrato in la nuova API di GLPI 11 in pratica, questo aggiornamento ti riguarda.

Chi deve aggiornare

La versione compare in Configurazione > Generale, scheda Sistema.

Cosa fare oggi

1. Controlla la versione in Configurazione > Generale > Sistema. Annota anche la versione di ogni plugin attivo.
2. Fai il backup di tre cose: il database, la cartella dei file (files) e la cartella di configurazione. La configurazione contiene glpicrypt.key, senza il quale le password salvate in GLPI (ricevitore di posta, LDAP, segreti delle integrazioni) non si possono più aprire.
3. Aggiorna prima una copia di test, se ne hai una. Un aggiornamento correttivo di solito fila liscio, ma la copia mostra in pochi minuti se qualche plugin o integrazione dà problemi.
4. Aggiorna la produzione. Con il pacchetto .tgz: modalità di manutenzione, sostituzione del codice e php bin/console database:update. Con Docker e l'immagine ufficiale: cambia il tag in glpi/glpi:12.0.2 o glpi/glpi:11.0.13 e riavvia il container. I comandi completi, con le precauzioni per il backup, sono nella nostra guida passo passo da GLPI 11 a 12. Lì il passaggio è di versione principale, ma la procedura di backup, manutenzione e verifica è la stessa.
5. Verifica dopo l'aggiornamento:
6. la nuova versione in Configurazione > Generale > Sistema;
7. il login, anche tramite SSO o LDAP, se lo usi;
8. aprire, aggiornare e risolvere un ticket di prova;
9. Configurazione > Plugins: tutti quelli che erano attivi restano attivi;
10. le integrazioni che usano l'API (aprire un ticket tramite esse) e i cruscotti incorporati, se ci sono;
11. l'invio di una notifica via e-mail.

Se dopo l'aggiornamento gli utenti devono accedere di nuovo, non stupirti: tra le modifiche della 11.0.13 ce n'è una sul nome del cookie di sessione, che ora include la versione di GLPI.

Se non puoi aggiornare oggi

Niente di quanto segue sostituisce l'aggiornamento. Sono misure per ridurre l'esposizione per qualche giorno, mentre pianifichi la finestra:

• Se GLPI è aperto su internet senza necessità, limita l'accesso (VPN o elenco di indirizzi consentiti).
• Se nessuna integrazione usa l'API legacy, disattiva Abilita Legacy REST API in Configurazione > Generale > API. Prima, verifica con chi gestisce le integrazioni: molte cose vecchie usano ancora questa API.
• Rivedi i client OAuth registrati ed elimina quelli che nessuno usa.
• Rivedi quali cruscotti sono condivisi tramite link di incorporamento e se devono esserlo ancora.

E chi è su GLPI 10?

Il 12 novembre non è uscita nessuna versione 10.0.x. GLPI 10 ha ricevuto l'ultimo aggiornamento il 30 settembre 2026, la 10.0.28, e non riceve più correzioni.

Non è ancora possibile sapere se queste cinque vulnerabilità esistono in GLPI 10: saranno gli avvisi dettagliati a elencare le versioni interessate. Il server OAuth è arrivato con GLPI 11, quindi quella vulnerabilità non riguarda la 10. Le altre quattro toccano funzioni che anche GLPI 10 ha: la vecchia API REST, i cruscotti incorporati, i documenti e la reimpostazione della password. Se qualcuna esiste lì, non ci sarà una correzione. I rischi di restare su GLPI 10 e il percorso di migrazione sono in ancora su GLPI 10? I rischi di restare e il percorso per migrare.

Quattro tornate in meno di tre settimane

Lo schema delle tornate precedenti aiuta a pianificare: prima esce la correzione, e i dettagli pubblici arrivano settimane dopo. Le vulnerabilità divulgate il 26/10 erano corrette dal 16/09; quelle del 02/11, dal 30/09. Chi ha aggiornato nel frattempo non era esposto quando il modo di sfruttarle è stato descritto in pubblico. Chi non ha aggiornato lo era. Con questo ritmo, conviene avere una finestra fissa per gli aggiornamenti correttivi ogni due settimane, sempre con backup e copia di test.

Cosa osservare quando usciranno gli avvisi

Gli avvisi compaiono nella pagina degli avvisi di sicurezza di GLPI su GitHub. Quando usciranno, verifica:

• Se la vulnerabilità richiede il login. Una vulnerabilità che funziona senza nome utente e password sale di priorità, soprattutto quella della reimpostazione della password, che si trova nella schermata di login.
• Quali versioni sono interessate, compreso se GLPI 10 rientra nell'elenco.
• Il punteggio di gravità (CVSS) e il numero CVE, che il tuo team di sicurezza o il tuo audit chiederanno.
• Se esiste una mitigazione ufficiale per chi non è ancora riuscito ad aggiornare.
• Se ci sono notizie di sfruttamento. Al 12/11/2026 non ce n'erano.

Cos'altro è arrivato con le versioni

L'elenco completo delle modifiche è su GitHub (12.0.2 e 11.0.13). Tre voci meritano attenzione per chi amministra:

• 11.0.13: torna l'icona dello stato "Nuova" nell'elenco dei ticket, che era sparita nella 11.0.12.
• 11.0.13: aggiorna librerie usate da GLPI che avevano correzioni di sicurezza proprie.
• 12.0.2: miglioramenti delle prestazioni nel cruscotto e nel modulo del ticket.

Notizia di NexTool basata sulle note ufficiali delle versioni 12.0.2 e 11.0.13, pubblicate il 12 novembre 2026, e sugli elenchi delle modifiche del progetto su GitHub. Non abbiamo fatto test di laboratorio con queste versioni. Gli avvisi dettagliati di ogni vulnerabilità non erano ancora stati pubblicati alla data di questo testo. GLPI è un marchio registrato di Teclib'. NexTool non è affiliata a Teclib'.