本文へ移動

脆弱性修正版あり公表

Laravelに重大な欠陥　条件次第で別の利用者になりすまされるおそれ

TokenGuardを使うAPI認証に問題。特定のMySQL・MariaDB構成が対象で、修正版が公開されています。

対象となる人

LaravelのTokenGuardでトークン式API認証を行うシステムの開発・運用担当者。MySQL・MariaDBの設定条件も影響します。1

今すべきこと

公式の案内

認証方式と利用バージョンを確認し、対象の場合は修正版を適用してください。12系は12.68.0以降、13系は13.29.0以降です。1 2

初回公表: 2026.10.19
参照情報の更新: 2026.10.19
当サイトの確認: 2026.11.02

#Laravel #PHP #認証回避

押さえたい、3つのポイント

有効なトークンなしで他人になりすますおそれ
影響を受けるAPI認証では、未認証の攻撃者が別の利用者として認証される可能性があります。1
認証方式とデータベース設定が条件
標準のトークン式API認証でTokenGuardを使用し、MySQL・MariaDBの特定の構成で動かす場合が対象です。1
12系・13系の修正版を公開
12系は12.68.0以降、13系は13.29.0以降で修正。JPCERT/CCも修正版の適用を呼びかけています。1 2

公式ソースを確認する

1Laravel：TokenGuardの認証回避（10月19日） ↗github.com
2JPCERT/CC：Weekly Report（10月28日、項目9） ↗www.jpcert.or.jp

𝕏 でシェア

もう少し詳しく

重大度は？: 開発元の評価はCritical、CVSS v4は9.2です。Laravelを使う全サイトで無条件に悪用できるという意味ではありません。1
原因は？: 認証情報の型の扱いに問題があり、データベースの照合で意図しない利用者が選ばれるおそれがあります。1

開発元の脆弱性告知に基づく記事です。この告知から実際の被害発生は確認していません。