トップ ＞ 社会

Laravelに認証回避の重大脆弱性、CVSS 9.2でCVE未割当

内容

どのような脆弱性か

10月21日、Laravelに認証を回避できる重大な脆弱性があると報じられました。APIトークンを持っていなくても、他のユーザーになりすましてアクセスできるおそれがあるとされています。深刻度を示すCVSSのスコアは9.2で、報道の時点では脆弱性を識別するCVE番号はまだ割り当てられていません。

影響範囲と被害の有無

影響を受けるLaravelのバージョンや、修正版が公開されているかどうかは、現時点で明らかになっていません。この脆弱性を悪用した被害が確認されているかどうかも、現時点で明らかになっていません。そのため、自分のサイトが影響を受けるかどうかの判断方法や具体的な対策は、Laravelの公式情報で確認する必要があります。

PHP本体の脆弱性とは別の問題

同じ時期に、PHP本体でも深刻度9.2の脆弱性2件（CVE-2026-109618、CVE-2026-109619、通称「php2shell」）が見つかりました。こちらは日本時間10月21日23時に修正版が公開されています。悪用を試みる動きも報じられており、国内では対応のためにサービスを一時的に止めた事業者もありました。PHP本体の脆弱性とLaravelの脆弱性は別のものとして報じられているため、Laravelを使っているサイトでは両方への対応状況を確認することになります。

Laravel周辺でのこれまでの報道

Laravelの関連ソフトウェアでは、2026年4月に認証用パッケージ「Laravel Passport」で認証回避の脆弱性（CVE-2026-3997）が報じられています。5月には、多言語化パッケージ「laravel-lang」がサプライチェーン型の攻撃を受けたおそれがあると伝えられていました。

注目ポイント

PHP本体の緊急修正と時期が重なったため、PHPで作られたWebシステムを運用する人にとって、確認すべきことが一度に増えています。CVE番号が未割当で影響を受けるバージョンも公表されていないことから、今後どのような詳細情報や修正版が出るかが焦点です。Laravelでは今年に入って認証まわりの問題が続いており、この点にも関心が集まっています。

参考記事

• PHP フレームワーク Laravelに認証回避の重大脆弱性、APIトークンなしで他ユーザーとしてアクセスの恐れ CVSS 9.2 CVE未割当|セキュリティニュースのセキュリティ対策Lab合同会社ロケットボーイズ　2026年10月21日 18:41

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。