Tim Laravel menerbitkan advisory untuk CVE-2026-114509, celah autentikasi di TokenGuard bawaan framework yang dinilai kritis dengan skor CVSS v4 9,2. Penyerang tanpa akun bisa masuk sebagai pengguna lain yang sudah terdaftar tanpa token API milik pengguna itu. Advisory resmi dengan kode GHSA-f9x3-7vq9-cph6 tayang pada 19 Oktober 2026, dan kode bukti konsep (PoC) kini sudah beredar di publik, menurut laporan SecurityOnline.
Apa yang bermasalah
Menurut advisory, TokenGuard hanya memeriksa apakah token kosong, tanpa memastikan token itu berupa string. Pada aplikasi yang memakai MySQL atau MariaDB, kiriman kredensial non-string yang dirakit khusus bisa cocok dengan data pengguna yang tidak semestinya. Akibatnya, setiap rute yang dilindungi guard tersebut bisa diambil alih, dan risikonya makin besar bila akun yang ditiru adalah administrator.
Celah ini hanya berlaku bila aplikasi memakai driver token pada guard API dan menyimpan pengguna di MySQL atau MariaDB. Pelapornya, peneliti dengan nama KIKOmanasijev, dikreditkan di advisory resmi.
Situs QadrLabs mencatat perbaikannya sebenarnya sudah masuk rilis 25 Agustus 2026 tanpa label keamanan di catatan rilis, sedangkan advisory dan nomor CVE baru muncul dua bulan kemudian. Hasil analisis itu berasal dari satu sumber. SecurityOnline menyebut belum ada sumber yang mengonfirmasi eksploitasi di dunia nyata, dan CVE ini belum masuk katalog KEV milik CISA.
Versi terdampak dan perbaikan
Advisory resmi mencantumkan Laravel 12 sebelum 12.68.0 dan Laravel 13 sebelum 13.29.0 sebagai versi terdampak. Perbaikannya ada di 12.68.0 dan 13.29.0. Laravel tidak menyediakan solusi sementara, jadi satu-satunya jalan adalah memperbarui framework.
Status Laravel 11 masih simpang siur. Para penulis PoC menyebut versi 11.56.1 sebagai rilis yang sudah diperbaiki, sementara advisory resmi hanya memuat cabang 12 dan 13, dan QadrLabs menulis bahwa Laravel 11 ke bawah tidak mendapat rilis perbaikan. Pengelola aplikasi di Laravel 11 sebaiknya memeriksa sendiri riwayat versinya dan merencanakan pindah ke versi yang masih didukung.
Pada hari yang sama Laravel juga membuka CVE-2026-114508 (GHSA-5wcm-3v2w-8362), celah tingkat menengah yang memungkinkan pengguna dengan akses baca saja memicu penghapusan data di tabel terkait. Perbaikannya ada di 12.68.0 dan 13.27.0, jadi satu pembaruan ke rilis terbaru menutup keduanya.
Langkah yang perlu diambil pengelola aplikasi
Cek versi dengan perintah composer show laravel/framework, lalu lihat apakah config/auth.php memakai driver token. Perbarui ke 12.68.0 atau 13.29.0 atau yang lebih baru, jalankan pengujian, dan deploy ulang. Setelah itu tinjau log autentikasi untuk aktivitas API yang janggal sejak versi lama dipasang, dan ganti token API akun penting bila ada tanda penyalahgunaan.
Bagi tim di Indonesia, risikonya nyata karena Laravel dipakai luas untuk API aplikasi mobile dan layanan internal. Aplikasi yang hanya mengandalkan driver token dan berjalan di MySQL atau MariaDB, kombinasi yang umum di hosting lokal, sebaiknya diperbarui lebih dulu. Pembaruan PHP yang sedang ramai dibahas juga perlu dikerjakan, seperti dijelaskan di liputan kami soal PHP2Shell.
Sumber: advisory resmi Laravel, QadrLabs, dan SecurityOnline. Gambar: Laravel.