GLPI 12.0.1: Sicherheitsupdate mit kritischer Korrektur

30.10.2026 · Release vom 28.10.2026 · GLPI 12.0.1 und GLPI 11.0.12

Drei Wochen nach dem Erscheinen von GLPI 12 hat das GLPI-Projekt am 28. Oktober 2026 die Versionen 12.0.1 und 11.0.12 veröffentlicht. GLPI 12.0.1 ist ein reines Sicherheitsrelease: Es schließt eine als kritisch eingestufte Lücke in der externen Authentifizierung und mehrere als hoch eingestufte Schwachstellen. Wir empfehlen, das Update zeitnah einzuspielen.

Welche Lücken geschlossen werden

Laut den Release-Notes behebt GLPI 12.0.1 folgende Schwachstellen:

• Umgehung der externen Authentifizierung (kritisch).
• Rechteausweitung durch Entitäts-Administratoren (hoch): Administratoren einer Entität konnten sich mehr Rechte verschaffen, als ihnen zustehen.
• Mehrere Cross-Site-Scripting-Lücken (hoch): reflektiert in Ticketkategorien, in der Liste der Benutzerberechtigungen und im Formular-Header sowie gespeichert bei VLANs und in Dashboards.
• Deaktivierung von Administratorkonten (mittel): Unberechtigte Benutzer konnten Administratorkonten deaktivieren.

Weitere technische Details veröffentlicht das Projekt in seinen Security Advisories.

Wer betroffen ist

• GLPI 12: Alle Installationen auf 12.0.0 sollten auf 12.0.1 aktualisieren.
• GLPI 11: Parallel ist GLPI 11.0.12 erschienen. Wer noch nicht auf GLPI 12 umgestiegen ist, sollte mindestens diese Version einspielen.
• GLPI 10: Die Community-Unterstützung für GLPI 10 ist mit dem Erscheinen von GLPI 12 am 7. Oktober 2026 ausgelaufen. GLPI 10 erhält keine Sicherheitsupdates mehr – hier hilft nur ein Upgrade. Was dabei zu beachten ist, lesen Sie in unserer Meldung zu GLPI 12.

Unsere Empfehlung

• Update zeitnah einspielen: auf 12.0.1 bzw. 11.0.12.
• Vorher wie gewohnt Datenbank und Installationsverzeichnis sichern und eingesetzte Plugins auf Kompatibilität prüfen.
• Bei dieser Gelegenheit auch PHP prüfen: Seit dem 21. Oktober 2026 gibt es Sicherheitsupdates für zwei kritische PHP-Lücken (CVE-2026-109618 und CVE-2026-109619). GLPI selbst ist davon nicht betroffen, der Server, auf dem es läuft, aber schon. Nach dem PHP-Update muss PHP-FPM bzw. der Webserver neu gestartet werden.
• Systeme auf GLPI 10 mittelfristig auf eine gepflegte Version bringen.

Die vollständigen Angaben finden Sie in den Release-Notes zu GLPI 12.0.1, in der Ankündigung des GLPI-Projekts und in dessen Hinweisen zu den PHP-Lücken.