GLPIの二要素認証を回避される脆弱性、11.0.8で修正
GLPI 11.0.0以上11.0.8未満に、細工したURLでログイン時のワンタイムパスワード確認を飛ばせる脆弱性が見つかりました。11系を使う組織は11.0.8へ更新し、外部公開の有無も確認してください。
急ぎ度: 早めに
CVSS v4が9.2の重大な脆弱性で、認証なしにネットワークから狙われる条件ですが、修正版の11.0.8がすでに公開されています。
関係があるか
GLPI 11系を自社で運用し、ログインに二要素認証を使っている組織が対象です。インターネットや広い社内ネットワークからログイン画面に届く構成では、とくに影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| GLPI（glpi-project/glpi） | 11.0.0以上11.0.8未満 | 11.0.8 |
確かめ方
- 1管理画面にログインし、画面下部などに表示されるGLPIの版を確認します。11.0.0から11.0.7の範囲なら対象です。
- 2二要素認証（ワンタイムパスワード）を有効にしているユーザーがいるかを、認証設定の画面で確認します。
- 3ログイン画面が社外から届く状態か、リバースプロキシやファイアウォールの設定で確認します。
- 4ホスティング事業者やパッケージ提供元経由でGLPIを使っている場合は、提供元が11.0.8を適用済みかを問い合わせます。
何が起きたか
GLPIのログイン時に求められるワンタイムパスワードの確認を、細工したURLで飛ばせる脆弱性です。二要素認証が意味をなさなくなります。
GLPIは無償の資産管理・IT管理ソフトウェアで、この問題は11.0.0以上11.0.8未満に存在します。分類はCWE-288で、本来の認証の流れとは別の経路を通ると認証が成立してしまう種類です。
開発元は2026年11月4日に告知し、11.0.8で修正しました。
攻撃の流れ
-
1
ログイン画面に到達
GLPIのログイン画面にネットワーク経由で届く位置にいる者が、認証前の状態でアクセスします。
-
2
細工したURLを送る
ログイン途中の段階で、通常とは異なる細工したURLにアクセスします。
-
3
OTP確認を回避
ワンタイムパスワードの検証が行われないまま、ログインの手続きが先に進みます。
-
4
管理情報へ到達
二要素認証で守られていたアカウントの権限で、GLPI上の情報や設定を操作できるようになります。
どう悪用されるか
認証は不要で、ネットワーク越しに悪用でき、利用者の操作も要りません。ログインの途中段階で、細工したURLを使って一つの確認だけを飛ばす形です。CVSS v4のベクトルには、成立に追加の条件があることを示す項目（AT:P）が付いています。
悪用されると、機密性・完全性・可用性のいずれにも大きな影響が出ると評価されています。GLPIには機器の台帳、チケットの内容、ユーザー情報が集まるため、二要素認証を破られたアカウントが管理者権限なら、これらの閲覧や改ざんにつながります。
二要素認証だけを破る脆弱性なので、パスワードが漏れていたり使い回されていたりする環境で、とくに効果が大きいとみられます。
今すぐやること
-
1
GLPIを11.0.8に更新する
対象の版を使っているなら、修正版の11.0.8へ更新します。更新前にデータベースとファイルのバックアップを取り、できればテスト環境で動作を確認してから本番に適用してください。
-
2
外部への公開状況を見直す
ログイン画面がインターネットに出ているなら、更新が終わるまでの順序を優先して決めます。VPNや社内ネットワークからのみ到達できる構成に絞れないかも検討してください。
-
3
不審なログインの跡を調べる
公表は11月4日で、修正版が出て日が浅い段階です。更新後も、二要素認証を設定したアカウントで、見覚えのない時間帯や接続元からログインがないかをアクセスログと認証ログで確認します。心当たりがあれば、該当アカウントのパスワードを変更します。
-
4
開発元の告知で追加の情報を確認する
GLPIのGitHubにあるセキュリティアドバイザリとリリースノートで、回避策や影響する構成の補足がないかを確認します。パッケージやホスティング経由で使っている場合は、提供元の案内も見ます。
すぐ更新できないとき
すぐに更新できない間は、GLPIのログイン画面へ到達できる範囲を、VPNや社内の固定アドレスだけに絞ります。これは被害を減らすためのつなぎで、脆弱性そのものは残ります。開発元が示す回避策があるかは、アドバイザリで確認してください。
背景
GLPIはオープンソースの資産管理・ITSMツールで、パソコンやサーバーの台帳、ヘルプデスクのチケット、ユーザーや権限の情報を一か所で管理します。社内で情報システム部門が使うことが多く、機器の構成やトラブルの履歴が集まります。ログインを破られると、組織の内部事情をまとめて読まれるおそれがあります。
今回のCWE-288は、パスワードの総当たりのような正面からの攻略ではなく、認証の流れの別の道を通ると確認が行われないという種類です。ワンタイムパスワードは、パスワード漏えいの被害を抑える最後の砦として導入されることが多いので、この確認が飛ばされると、導入していた意味が薄れます。GLPI 11系は11.0.0からこの影響を受けるとされており、10系以前は説明の範囲では対象に含まれていません。
よくある質問
Q.二要素認証を有効にしていないGLPIでも更新は必要ですか。
Q.更新が遅れた場合、二要素認証以外の防御はありますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ修正版は配布版ごとに違うので、リンク先で確かめてください。
- Ubuntu UBUNTU-CVE-2026-52848 glpi
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
GLPI is a free asset and IT management software package. From 11.0.0 until 11.0.8, during the login phase, an unauthenticated user could use a crafted URL to skip one-time-password verification, defeating two-factor authentication. This issue is fixed in version 11.0.8.
出典: CVE.org (CVE Program・cvelistV5) NVD