CVE-2026-26026: RCE critica in GLPI tramite template injection

GLPI, software open source per la gestione di asset IT, è affetto dalla vulnerabilità CVE-2026-26026: una template injection che, se sfruttata da un utente con privilegi di amministratore, porta a esecuzione di codice remoto (RCE). Il problema riguarda le versioni da 11.0.0 a quelle precedenti alla 11.0.6, secondo la descrizione ufficiale NVD.

La vulnerabilità ha un punteggio CVSS di 9,1, classificato come critical nei dati disponibili. È stata pubblicata su NVD il 6 aprile 2026 ed è già corretta nella versione 11.0.6. Esiste un repository pubblico su GitHub che dichiara di contenere materiale di confronto del codice sorgente e file di laboratorio locali relativi a questa CVE per le versioni 11.0.5 e 11.0.6: si tratta di un segnale di interesse tecnico nella comunità, non una prova di exploit pubblico operativo o di sfruttamento attivo in rete, informazioni non confermate dai dati disponibili.

Per i team che gestiscono installazioni GLPI, la priorità è verificare la versione in uso e aggiornare alla 11.0.6 o successiva il prima possibile, data la gravità critica e la natura RCE della falla. È opportuno inoltre rivedere chi detiene privilegi di amministratore sulla piattaforma, poiché lo sfruttamento richiede tale livello di accesso, e monitorare i log amministrativi per individuare eventuali anomalie nelle configurazioni di template.