Laravelの標準TokenGuardに重大な認証回避の脆弱性CVE-2026-114509。特定のMySQL・MariaDB構成でAPIトークンを知らずに他ユーザーとして認証される恐れ。修正版と影響条件を整理。
30秒でわかる / THE SIGNAL
Laravel TokenGuardの認証回避CVE-2026-114509はCRITICAL（CVSS 9.2）。特定のMySQL／MariaDB構成で、トークンの値を知らない第三者が別ユーザーとして認証され得る。12系は12.68.0以上、13系は13.29.0以上へ更新する。
「APIトークンを知らない」攻撃者が認証を通る
Laravel開発元は2026年10月19日、標準のトークンベースAPI認証機能TokenGuardの脆弱性GHSA-f9x3-7vq9-cph6を公表した。CVE-2026-114509、深刻度はCRITICAL（CVSS v4.0で9.2）。条件に合う環境では、正しいAPIトークンを持たない第三者が既存ユーザーとして認証され、保護されたAPIへアクセスする可能性がある。
公式勧告：https://github.com/laravel/framework/security/advisories/GHSA-f9x3-7vq9-cph6
原因は認証情報の「型」の扱い
通常、API認証は送信されたトークンを保存済みの値と照合する。今回の問題では、想定していない文字列以外の値が認証情報として送られたとき、特定のMySQL／MariaDB構成でデータベースの検索が意図しないユーザー行に一致する場合がある。認証を失敗させるべき入力が、既存ユーザーへの一致として扱われることが問題だ。
すべてのLaravelアプリが影響するわけではない。標準TokenGuardの利用、データベース構成、APIの公開状況などを確認する必要がある。別の認証方式まで同様に突破できると断定してはいけない。
影響バージョンと修正版
Laravelの12系は12.68.0未満、13系は13.29.0未満が該当する。公式勧告には旧系列の影響範囲も記載されているため、保守中の旧バージョンでは個別に修正状況を確認したい。修正版は12.68.0と13.29.0。Composerの依存関係と実際のデプロイ環境を確認し、対応する修正版以上に更新する。
公式12系リリース：https://github.com/laravel/framework/releases/tag/v12.68.0 公式13系リリース：https://github.com/laravel/framework/releases/tag/v13.29.0
運営者が確認すべき対応
まずAPIルートが標準TokenGuardを使っているか、MySQL／MariaDBの構成かを調べる。影響する場合は速やかに修正版へ更新し、認証が成功するケースだけでなく、想定外の型の認証情報が確実に拒否されることも検証する。必要に応じてAPIアクセスログの異常な認証成功を調査し、認証済みユーザーの権限検査が適切に実装されているかも確認したい。
公式勧告からは、実際の攻撃で悪用されたことや被害規模は確認できない。脆弱性の存在と攻撃成功の観測は区別する。
WORK SIGNALの視点｜ログインできるかだけでは足りない
認証システムの安全性は、正しい資格情報を受け入れることだけでなく、不正な形式や想定外の入力を確実に拒否することでも成り立つ。業務システムや顧客向けAPIを運営する企業は、フレームワークの修正適用を担当する人、更新期限、検証方法を決めておきたい。アプリの機能が正常に動いていることと、認証が安全に機能していることは同じではない。