Projekt GLPI vydal 28. októbra 2026 dve bezpečnostné vydania naraz — 12.0.1 a 11.0.12. Obe opravujú rovnakú osmičku chýb a jedna z nich je označená ako Critical: obídenie externej autentifikácie.
Pre dvanástku je to prvá záplata vôbec. Stabilná 12.0.0 vyšla 7. októbra 2026, takže kto migroval hneď po vydaní, má za sebou tri týždne prevádzky a pred sebou ďalšiu odstávku — tentoraz podstatne kratšiu, lebo ide o patch v rámci tej istej vetvy.
Zoznam opráv
V oboch vydaniach je identický:
- Critical — obídenie externej autentifikácie.
- High — reflektované XSS v kategórii tiketu, v zozname oprávnení používateľov a v hlavičke formulára.
- High — uložené XSS vo VLAN a na dashboardoch.
- High — eskalácia oprávnení administrátorom entity.
- Medium — deaktivácia administrátorského účtu neoprávneným používateľom.
Externá autentifikácia znamená v GLPI prihlásenie delegované mimo internej databázy používateľov: adresáre LDAP a Active Directory, poštové servery, CAS, certifikáty x509 a prenechanie autentifikácie webovému serveru. Každá inštalácia napojená na doménu teda túto vrstvu používa — a práve to robí z kritickej položky tú, ktorá rozhoduje o termíne odstávky.
Eskalácia oprávnení administrátorom entity je druhá položka, ktorú netreba prehliadnuť. Týka sa inštalácií s viacerými entitami, čo je v štátnej správe a vo väčších skupinách bežná konfigurácia: správca jednej organizačnej jednotky je v takom modeli zámerne obmedzený a oprava existuje práve preto, aby to obmedzenie platilo.
Technické detaily ešte nie sú zverejnené
Projekt publikuje advisories s odstupom od vydania opravy: pri závažnosti Critical a High mesiac, pri ostatných týždeň. Pre dávku z 28. októbra to znamená, že popis kritickej chyby a šiestich vysokých možno čakať zhruba koncom novembra 2026. K 2. novembru 2026 k tejto dávke nie sú zverejnené ani advisories, ani CVE identifikátory.
Oplatí sa z toho vyvodiť praktický záver. Dočasné zmiernenie si teraz nepostavíte — bez popisu vektora neviete, ktorý zdroj autentifikácie je dotknutý ani čo by ste mali filtrovať na reverznom proxy. Ten mesačný odstup je navrhnutý tak, aby ste stihli nasadiť skôr, než bude popis verejný. Nie je to čas na čakanie, je to náskok.
Vetva 10 opravu nedostala
Verzia 10.0.28 z 30. septembra 2026 bola vo vetve 10 posledná, 10.0.29 nevyšla. Bezpečnostná politika projektu uvádza ako podporované len vetvy 12.0.x a 11.0.x; všetko staršie je mimo podpory. Inštalácia na desiatke teda týchto osem opráv nemá a mať nebude.
Tá istá politika hovorí aj to, že v rozsahu podpory je vždy len posledné patch vydanie danej vetvy. Zostať na 11.0.8 alebo na 12.0.0 preto neznamená „staršia, ale podporovaná verzia“ — znamená to verzia, ku ktorej už nikto nič neposúdi.
Postup
- Z 12.0.0 prejsť na 12.0.1, z ktorejkoľvek 11.0.x na 11.0.12. Žiadna migrácia, žiadna zmena požiadaviek na platformu.
- Pred upgradom zálohovať databázu aj adresáre s prílohami a mať overený postup návratu.
- Po nasadení prihlásenie cez externý zdroj otestovať priamo — doménovým účtom, nie lokálnym administrátorom.
- Prejsť pluginy: pri patchi v rámci vetvy sa zvyčajne nič neláme, ale vlastné úpravy, ktoré zasahujú do autentifikácie, stoja za kontrolu.
- Zapísať zmenu do evidencie — pri kritickej oprave sa termín nasadenia aj dôvod hodia neskôr pri audite.
Kto odkladal dvanástku a zostal na jedenástke, má to tentoraz jednoduchšie: 11.0.12 rieši to isté a odklad migrácie sa tým nepredražuje. Kto zostal na desiatke, má po 28. októbri jeden dôvod navyše presunúť upgrade z backlogu do plánu.