NexTool Solutions

O projeto GLPI publicou a 12 de novembro de 2026 as versões 12.0.2 e 11.0.13, marcadas como "security release, upgrading is recommended": versão de segurança, atualização recomendada. Corrigem cinco falhas, todas de severidade alta. Duas permitem apoderar-se da conta de outro utilizador, uma permite obter permissões através da API legada e outra afeta o servidor OAuth da API nova. O GLPI 10 não recebeu versão nova. É a quarta ronda de segurança do GLPI em menos de três semanas. Segue-se o que foi corrigido em linguagem de gestão de TI, quem precisa de atualizar, a lista de verificação para hoje e o que observar quando os detalhes técnicos forem publicados.

Este artigo usa apenas o que o projeto publicou até 12 de novembro de 2026: as notas das versões e a lista de alterações no GitHub. Os alertas detalhados de cada falha (os GHSA) ainda não saíram. Até lá, ninguém de fora sabe se exigem autenticação, nem que versões antigas são afetadas.

Resumo para quem tem cinco minutos

As cinco falhas, em linguagem de gestão

A nota oficial traz apenas o nome de cada falha. A coluna do meio explica o que o nome quer dizer. A da direita indica quem deve olhar primeiro. O que o atacante precisa de ter (autenticação, perfil, acesso à rede) só vai aparecer nos alertas detalhados.

Duas das cinco afetam diretamente as APIs: a legada e a nova, com OAuth. Se está a ligar o GLPI a outros sistemas, como mostrámos em a nova API do GLPI 11 na prática, esta atualização é para si.

Quem precisa de atualizar

A versão aparece em Configuração > Geral, separador Sistema.

O que fazer hoje

1. Confirme a versão em Configuração > Geral > Sistema. Anote também a versão de cada extensão ativa.
2. Faça cópia de segurança de três coisas: a base de dados, a pasta de ficheiros (files) e a pasta de configuração. A configuração guarda o glpicrypt.key, sem o qual as palavras-passe guardadas no GLPI (recetor de e-mail, LDAP, segredos das integrações) deixam de poder ser lidas.
3. Atualize primeiro uma cópia de teste, se tiver uma. Uma atualização de correção costuma correr bem, mas a cópia mostra em minutos se alguma extensão ou integração se queixa.
4. Atualize a produção. No pacote .tgz: modo de manutenção, substituição do código e php bin/console database:update. Em Docker com a imagem oficial: mude a tag para glpi/glpi:12.0.2 ou glpi/glpi:11.0.13 e volte a criar o contentor. Os comandos completos, com os cuidados de cópia de segurança, estão no nosso passo a passo do GLPI 11 para o 12. Aí a mudança é de versão principal, mas o roteiro de cópia de segurança, manutenção e verificação é o mesmo.
5. Verifique depois de atualizar:
6. a nova versão em Configuração > Geral > Sistema;
7. o início de sessão, incluindo por SSO ou LDAP, se o usar;
8. criar, atualizar e resolver um ticket de teste;
9. Configuração > Extensões: todas as que estavam ativas continuam ativas;
10. as integrações que usam a API (criar um ticket através delas) e os painéis incorporados, se existirem;
11. o envio de uma notificação por e-mail.

Se depois da atualização os utilizadores tiverem de voltar a iniciar sessão, não estranhe: entre as alterações da 11.0.13 está uma no nome do cookie de sessão, que passou a incluir a versão do GLPI.

Se não for possível atualizar hoje

Nada aqui substitui a atualização. São medidas para reduzir a exposição durante alguns dias, enquanto agenda a janela:

• Se o GLPI está aberto à internet sem necessidade, restrinja o acesso (VPN ou lista de endereços permitidos).
• Se nenhuma integração usa a API legada, desative Ativar a API REST antiga em Configuração > Geral > API. Antes, confirme com quem gere as integrações: muita coisa antiga ainda usa esta API.
• Reveja os clientes OAuth registados e elimine os que ninguém usa.
• Reveja que painéis estão partilhados por ligação de incorporação e se ainda precisam de estar.

E quem está no GLPI 10?

Não saiu nenhuma versão 10.0.x a 12 de novembro. O GLPI 10 recebeu a última atualização a 30 de setembro de 2026, a 10.0.28, e já não recebe correções.

Ainda não é possível saber se estas cinco falhas existem no GLPI 10: são os alertas detalhados que vão listar as versões afetadas. O servidor OAuth chegou com o GLPI 11, por isso essa falha não se aplica ao 10. As outras quatro afetam recursos que o GLPI 10 também tem: a API REST antiga, os painéis incorporados, os documentos e a reposição da palavra-passe. Se alguma delas existir lá, não vai haver correção. Os riscos de ficar no 10 e o roteiro de migração estão em ainda no GLPI 10? Os riscos de ficar e o roteiro para migrar.

Quatro rondas em menos de três semanas

O padrão das rondas anteriores ajuda a planear: a correção sai primeiro e o detalhe público vem semanas depois. As falhas divulgadas a 26/10 estavam corrigidas desde 16/09; as de 02/11, desde 30/09. Quem atualizou nesse intervalo não ficou exposto quando o caminho foi descrito publicamente. Quem não atualizou ficou. Com este ritmo, vale a pena ter uma janela fixa de atualizações de correção a cada duas semanas, sempre com cópia de segurança e cópia de teste.

O que observar quando os alertas saírem

Os alertas aparecem na página de avisos de segurança do GLPI no GitHub. Quando saírem, verifique:

• Se a falha exige autenticação. Uma falha que funciona sem utilizador e palavra-passe sobe de prioridade, sobretudo a da reposição da palavra-passe, que está no ecrã de início de sessão.
• Que versões são afetadas, incluindo se o GLPI 10 entra na lista.
• A pontuação de gravidade (CVSS) e o número CVE, que a sua equipa de segurança ou a sua auditoria vão pedir.
• Se há mitigação oficial para quem ainda não conseguiu atualizar.
• Se há notícia de exploração. Até 12/11/2026, não havia.

O que mais veio nas versões

A lista completa de alterações está no GitHub (12.0.2 e 11.0.13). Três itens merecem a atenção de quem administra:

• 11.0.13: volta o ícone do estado "Novo" na lista de tickets, que tinha desaparecido na 11.0.12.
• 11.0.13: atualiza bibliotecas usadas pelo GLPI que tinham correções de segurança próprias.
• 12.0.2: melhorias de desempenho no painel e no formulário de ticket.

Notícia da NexTool baseada nas notas oficiais das versões 12.0.2 e 11.0.13, publicadas a 12 de novembro de 2026, e nas listas de alterações do projeto no GitHub. Não fizemos testes de laboratório com estas versões. Os alertas detalhados de cada falha ainda não tinham sido publicados à data deste texto. GLPI é marca registada da Teclib'. A NexTool não é afiliada da Teclib'.