Resumo executivo: o GLPI publicou ao longo de 2026 uma sequência de versões classificadas como correções de segurança — 11.0.6, 11.0.7 e 11.0.8 na linha 11, com equivalentes na linha 10. Entre as falhas corrigidas há injeção de template no servidor, injeção de SQL sem autenticação e contorno de duplo fator. Se o seu GLPI está exposto e desatualizado, isso é prioridade da semana.
O alerta, em números
| Linha 11 | Linha 10 | Data | Natureza |
|---|---|---|---|
| 11.0.8 | 10.0.26 | 24/06/2026 | Correções de segurança |
| 11.0.7 | 10.0.25 | 29/04/2026 | Correções de segurança |
| 11.0.6 | 10.0.24 | 03/03/2026 | Correções de segurança |
O que foi corrigido no ciclo de março. A publicação oficial do projeto descreve, entre outras: injeção de template no lado servidor classificada como crítica, duas injeções de SQL autenticadas, uma injeção de SQL não autenticada, contorno de autenticação multifator e vulnerabilidades de cross-site scripting armazenado. A recomendação do próprio projeto é direta: atualizar é altamente recomendado.
Por que isso é grave em um GLPI. O sistema concentra inventário de ativos, credenciais de acesso a equipamentos, contratos, dados de colaboradores e histórico de chamados. Comprometê-lo entrega o mapa completo do ambiente ao atacante.
Traduzindo os termos
- Injeção de template no servidor (SSTI): falha que permite executar código no servidor a partir de conteúdo enviado pelo usuário. É a mais grave da lista.
- Injeção de SQL não autenticada: manipulação de consultas ao banco sem precisar de login. Permite ler ou alterar dados diretamente.
- Contorno de MFA: acesso à conta ignorando o segundo fator, o que anula o principal controle contra credencial vazada.
- XSS armazenado: script malicioso gravado no sistema e executado no navegador de outro usuário — normalmente usado para roubar sessão de administrador.
Contexto: o GLPI 11 amadureceu
Mudança de patamar. A linha 11 consolidou o GLPI como opção séria de ITSM (gestão de serviços de TI) de código aberto, com evolução de interface, gestão de ativos e aderência a práticas do ITIL 4 — gestão de incidentes, requisições, mudanças e catálogo de serviços.
Duas linhas mantidas. O projeto mantém 11.x e 10.x ativas com correções. Isso é bom para quem não pode migrar agora, mas não é motivo para permanecer indefinidamente na linha antiga.
O que muda na prática para a operação. CMDB (banco de dados de configuração) mais utilizável, fluxo de chamado mais limpo para o usuário final e melhor suporte a múltiplas entidades — relevante para grupos empresariais e para prestadores que atendem vários clientes na mesma instância.
Plano de resposta em quatro etapas
1. Descobrir a versão e a exposição
Objetivo: dimensionar o risco antes de agir.
Ação: identificar a versão instalada; verificar se o GLPI responde na internet ou apenas na rede interna e VPN; conferir se há MFA habilitado para contas administrativas.
Resultado esperado: classificação do risco em alto (exposto e desatualizado), médio ou baixo.
Como validar: teste de acesso a partir de rede externa e conferência da versão na interface.
2. Reduzir a superfície imediatamente
Objetivo: ganhar tempo enquanto a atualização é preparada.
Ação: restringir o acesso externo por VPN ou lista de origens permitidas; publicar atrás de proxy reverso com WAF quando o acesso externo for indispensável; revisar contas de administrador e desativar as inativas.
Resultado esperado: exposição pública eliminada ou fortemente limitada em 24 horas.
Como validar: varredura externa confirmando que a porta não responde de origens não autorizadas.
3. Atualizar com plano de retorno
Objetivo: aplicar a correção sem parar o service desk.
Ação: backup completo do banco e da pasta de arquivos; teste da atualização em cópia; janela definida; validação de plugins — a maior causa de falha em atualização de GLPI é plugin incompatível.
Resultado esperado: versão corrigida em produção, com chamados e anexos íntegros.
Como validar: abrir, tratar e encerrar um chamado de teste ponta a ponta, incluindo anexo e notificação por e-mail.
4. Estabelecer rotina
Objetivo: não repetir o atraso.
Ação: acompanhar formalmente os anúncios do projeto e definir prazo máximo interno de aplicação — sugestão prática: 15 dias para correções de segurança de alta severidade.
Resultado esperado: defasagem de versão sob controle e mensurável.
Como validar: indicador mensal de dias entre publicação da correção e aplicação em produção.
Como reduzir o risco de forma permanente
Tire o GLPI da internet. Na maioria das operações, o acesso externo existe apenas por conveniência. VPN ou acesso remoto controlado elimina de uma vez a exposição a exploração automatizada — que é como a maior parte dos comprometimentos começa.
Separe contas administrativas. Ninguém deve usar conta de administrador para abrir chamado no dia a dia. Conta administrativa dedicada, com MFA e uso restrito, reduz drasticamente o impacto de uma sessão roubada.
Isole o banco de dados. O banco do GLPI não precisa aceitar conexão de qualquer origem da rede. Restrinja a origem ao próprio servidor de aplicação.
Monitore o próprio GLPI. Disponibilidade, tempo de resposta, espaço em disco e — principalmente — tentativas de login malsucedidas. Pico de falhas de autenticação é sinal de ataque de força bruta em andamento.
Faça backup com teste de restauração. Banco e diretório de arquivos, com restauração testada ao menos trimestralmente. Backup que nunca foi restaurado é uma hipótese, não um controle.
Registre o processo. Documente quem aprova, quem executa e em quanto tempo as correções devem ser aplicadas. Isso é gestão de vulnerabilidades no sentido prático, e é o que a auditoria pede para ver.
O que uma implantação bem-feita entrega além do chamado
- Inventário automático. Com agente de inventário, o parque se atualiza sozinho — fim da planilha de equipamentos desatualizada.
- Base para decisão de compra. Idade média do parque, garantia vencendo e histórico de falha por modelo sustentam o orçamento de renovação.
- SLA que significa algo. Prazos por criticidade, com medição e relatório, transformam a percepção de que “a TI demora” em número discutível.
- Evidência para LGPD e auditoria. Registro de quem solicitou, quem aprovou e quem executou cada acesso ou mudança — insumo direto para controles de gestão de acessos.
- Integração com monitoramento. Alertas do Zabbix gerando chamado automaticamente fecham o ciclo entre detectar e resolver.
Perguntas frequentes
Posso continuar no GLPI 10? Pode, enquanto a linha receber correções — mas trate como situação temporária. Planeje a migração para a linha 11 dentro do ano, especialmente se houver plugins que já tenham versão compatível.
Atualizar quebra meus plugins? É o risco mais concreto. Antes de qualquer atualização, liste os plugins, verifique a compatibilidade declarada e teste em cópia. Plugin sem manutenção deve ser substituído ou removido.
Quanto tempo leva a atualização? Em instâncias de porte médio, com backup pronto e plugins compatíveis, a janela costuma ser curta. O tempo real do projeto está no teste, não no comando de atualização.
Preciso de suporte especializado? Não obrigatoriamente. Faz diferença quando há várias entidades, integrações com inventário e monitoramento, ou quando a instância está muitas versões atrás.
Riscos e pontos de atenção
- Plugins abandonados. Extensão sem manutenção trava a atualização e, muitas vezes, é ela própria a porta de entrada. Faça o inventário dos plugins e elimine o que não é essencial.
- Instância exposta sem necessidade. Muitos GLPI estão na internet apenas porque “o pessoal acessa de casa” — problema que VPN resolve com risco muito menor.
- Backup não testado. Backup de banco sem a pasta de arquivos deixa os anexos para trás. Teste a restauração, não apenas a geração.
- Versão muito antiga. Saltos grandes de versão exigem etapas intermediárias e revisão de banco. Planeje como projeto, não como tarefa de uma noite.
- Falsa sensação de segurança. Atualizar corrige o conhecido. Senha fraca de administrador e ausência de MFA continuam sendo o caminho mais fácil para o atacante — em linha com o controle A.8.5 da ISO/IEC 27001:2022, sobre autenticação segura.
Indicadores que mostram se o GLPI está bem operado
- Defasagem de versão: dias entre a publicação de uma correção de segurança e sua aplicação em produção. É o indicador mais direto de maturidade.
- Cobertura de inventário: ativos descobertos automaticamente sobre o total estimado do parque. Abaixo de 90% indica agente mal distribuído.
- Chamados sem categoria: percentual de registros que ninguém classificou. Alto significa relatório sem valor.
- Aderência ao prazo acordado: chamados resolvidos dentro do SLA, por criticidade.
- Reabertura: percentual de chamados reabertos após encerramento — mede qualidade da solução, não velocidade.
Próximos passos práticos
- Verifique hoje a versão do seu GLPI e compare com a tabela acima.
- Confirme se a instância responde na internet. Se responder, restrinja agora.
- Liste os plugins instalados e a data da última atualização de cada um.
- Agende a atualização com backup testado e valide um chamado ponta a ponta depois.
- Defina prazo interno máximo para aplicação de correções de segurança e passe a medi-lo.
Precisa atualizar sem parar o atendimento? A Brazuca Informática implanta, atualiza e sustenta GLPI em MT, GO e em todo o Brasil. Fale com nosso time.
Premissas assumidas: as versões e datas citadas refletem as publicações do projeto GLPI consultadas na data deste artigo — verifique se há release mais recente antes de planejar; a descrição das vulnerabilidades segue o anúncio oficial do projeto e não substitui a leitura dos avisos de segurança; prazos internos sugeridos são referência de boa prática, não exigência normativa.
Deixe um comentário