Poin utama. Laravel menerbitkan advisori kritis untuk token guard dengan skor CVSS 9.2 yang memungkinkan penyerang masuk sebagai pengguna lain pada database MySQL dan MariaDB. Laravel juga memperbarui layanan Cloud, Forge, Vapor, dan Envoyer setelah dua celah kritis PHP diumumkan pada Rabu, 21 Oktober 2026.
Celah keamanan Laravel pada fitur autentikasi token menjadi sorotan setelah Laravel News melaporkannya pada Selasa, 20 Oktober 2026. Laporan yang ditulis Paul Redmond itu menyebut tim Laravel menerbitkan advisori kritis untuk token API guard, yaitu mekanisme yang dipakai sebagian aplikasi untuk memeriksa token pengguna. Sehari kemudian, pada Rabu, 21 Oktober 2026, Laravel menerbitkan artikel pembaruan tentang dampak dua celah kritis PHP terhadap produk dan layanannya. Artikel itu diperbarui pada Jumat, 23 Oktober 2026 pukul 08.31 UTC atau 15.31 WIB. Kedua kabar ini berlaku global dan relevan bagi pengembang serta pemilik aplikasi berbasis Laravel di Indonesia.
Kronologi Singkat Berdasarkan Tanggal
Rangkaian kabar ini bergerak dalam beberapa hari yang berdekatan, sehingga urutan tanggalnya membantu pembaca memahami kapan perbaikan tersedia. Berikut kronologinya berdasarkan sumber resmi Laravel dan laporan Laravel News.
- Selasa, 25 Agustus 2026 Laravel merilis versi 12.68.0 dan 13.29.0 yang memuat perbaikan untuk kedua advisori
- Selasa, 20 Oktober 2026 Laravel News melaporkan advisori kritis token guard berkode GHSA-f9x3-7vq9-cph6 dan advisori kedua soal JSON:API
- Rabu, 21 Oktober 2026 Laravel menerbitkan artikel respons atas dua celah kritis PHP yang diungkap dan ditambal pada hari itu
- Jumat, 23 Oktober 2026 pukul 08.31 UTC atau 15.31 WIB Laravel memperbarui artikel tersebut dengan status terbaru tiap produk
Perlu dicatat bahwa perbaikan framework sudah tersedia sejak Agustus, sedangkan advisorinya baru dipublikasikan pada Oktober. Artinya aplikasi yang rutin diperbarui sejak akhir Agustus sudah terlindungi sebelum kabar ini ramai dibicarakan. Aplikasi yang jarang diperbarui menjadi pihak yang paling perlu bergerak cepat.
Celah Keamanan Laravel pada Token Guard
Menurut Laravel News, celah ini berada pada kelas TokenGuard yang menjalankan driver token. Pada database MySQL dan MariaDB, penyerang yang belum terautentikasi dapat masuk sebagai pengguna yang sudah ada tanpa mengetahui token API milik pengguna tersebut. Penyerang dapat mengirim nilai kredensial khusus yang bukan berupa teks, lalu nilai itu salah ditangani saat pencarian autentikasi sehingga kueri mencocokkan data pengguna yang tidak semestinya. Akibatnya, akun mana pun pada rute yang dilindungi guard tersebut berpotensi diambil alih. Advisori resmi dengan kode GHSA-f9x3-7vq9-cph6 memberi skor CVSS 9.2, yang termasuk kategori kritis.
Peneliti keamanan Hristijan Manasijev disebut sebagai pelapor celah ini dan mengumumkannya lewat media sosial X. Laravel News mencatat bahwa advisori hanya mencakup driver token. Sanctum dan Passport mendaftarkan driver guard mereka sendiri sehingga tidak termasuk dalam advisori tersebut. Perbaikannya menambahkan pemeriksaan tipe data sehingga guard menolak nilai berupa larik atau tipe non teks sebelum menyentuh database. Dengan begitu, nilai yang tidak wajar tidak lagi sampai ke tahap pencarian pengguna.
Versi Laravel yang Terdampak dan Diperbaiki
Untuk celah autentikasi token guard, advisori kritis menyatakan semua versi di bawah 12.68.0 pada cabang 12.x dan semua versi di bawah 13.29.0 pada cabang 13.x terdampak. Perbaikannya tersedia di Laravel 12.68.0 dan 13.29.0, yang dirilis pada Selasa, 25 Agustus 2026. Perbaikan hanya tersedia untuk cabang 12.x dan 13.x, sehingga pemilik aplikasi pada cabang yang lebih lama perlu menimbang peningkatan versi. Informasi ini mengacu pada laporan Laravel News.
Advisori kedua yang menyangkut JSON:API resources memiliki cakupan yang lebih sempit. Versi yang terdampak dimulai dari Laravel 12.45.0 hingga di bawah 12.68.0, serta semua versi di bawah 13.27.0 pada cabang 13.x. Aplikasi yang sudah memakai 12.68.0 atau 13.29.0 otomatis tercakup perbaikan untuk kedua advisori. Dengan demikian satu langkah pembaruan ke versi terbaru di cabang masing masing sudah cukup menutup dua celah tersebut.
Mengapa Celah Autentikasi Sangat Berbahaya
Celah pada lapisan autentikasi termasuk yang paling serius karena menyangkut pertanyaan mendasar, yaitu siapa yang boleh masuk. Ketika lapisan ini bisa dilewati, penyerang tidak perlu menebak kata sandi atau mencuri token, sehingga seluruh data dan fitur yang dilindungi menjadi terbuka. Akun pelanggan, data transaksi, dan tindakan atas nama pengguna dapat disalahgunakan tanpa jejak login yang wajar. Aplikasi berbasis API yang melayani aplikasi seluler atau integrasi pihak ketiga paling perlu waspada karena sering memakai autentikasi berbasis token. Karena itu skor 9.2 pada advisori ini layak dibaca sebagai peringatan serius, bukan sekadar catatan teknis.
Advisori Kedua soal JSON:API
Pada Selasa, 20 Oktober 2026, Laravel juga menerbitkan advisori kedua dengan kode GHSA-5wcm-3v2w-8362 dan skor CVSS 6.5 yang tergolong sedang. Celah ini menyangkut fitur JSON:API resources yang ditambahkan pada Laravel 12.45. Dalam kondisi tertentu, permintaan ke endpoint yang seharusnya hanya membaca data dapat dirancang untuk memicu operasi penghapusan pada tabel terkait. Pengguna dengan akses baca saja berpotensi mengosongkan tabel tersebut. Perbaikannya mengubah cara JSON:API resources memuat relasi yang diminta dalam permintaan, dan tersedia di Laravel 12.68.0 serta 13.27.0.
Pembaruan Laravel untuk Celah Kritis PHP
Pada Rabu, 21 Oktober 2026, Laravel menyatakan dua celah keamanan kritis di PHP telah diungkap dan ditambal. Laravel menggambarkannya sebagai celah yang sangat serius dan berdampak pada setiap aplikasi PHP di web, serta menyebut tindakan mungkin diperlukan. Untuk latar belakang celah PHP tersebut, baca juga artikel tentang celah keamanan PHP kritis. Laravel kemudian merinci status tiap produknya dalam pengumuman resmi yang diperbarui pada Jumat, 23 Oktober 2026.
Untuk Laravel Cloud, seluruh aplikasi yang berjalan telah ditambal dengan rilis keamanan PHP dan Node.js, dan penyebaran sudah dilanjutkan. Laravel menerapkan perbaikan di tempat sehingga aplikasi tetap daring tanpa perlu penyebaran ulang, dan kini memakai PHP 8.5.12, 8.4.27, 8.3.36, atau 8.2.35 sesuai versi yang dipilih. Pada Laravel Forge, versi perbaikan tersedia untuk semua versi PHP dari 5.6 hingga 8.5, namun server dengan Ubuntu 20.04 atau lebih lama tidak bisa diperbarui. Untuk server seperti itu Laravel menyarankan membuat server baru pada versi Ubuntu yang didukung lalu memindahkan situs, dan merekomendasikan server lama dimatikan sementara. Pengguna Forge juga diingatkan memperbarui Node.js sendiri bila server memakainya.
Untuk Laravel Vapor, runtime PHP yang sudah ditambal telah aktif. Aplikasi dengan runtime native pada PHP 8.2 atau lebih baru perlu disebarkan ulang, sedangkan aplikasi dengan runtime kustom atau citra Docker membutuhkan penyebaran baru. Aplikasi yang berjalan di PHP 8.0 atau 8.1 tidak mendapat perbaikan, sehingga Laravel meminta peningkatan ke PHP 8.2 atau lebih baru secepatnya. Sementara itu Laravel Envoyer sudah kembali daring, pemeriksaan kesehatan aktif, dan penyebaran berjalan normal setelah pekerjaan keamanan PHP sehari sebelumnya.
Imbauan bagi Pengguna Laravel
Bagi pengelola aplikasi Laravel, langkah paling mendesak adalah memastikan versi framework sudah mencapai 12.68.0 atau 13.29.0 atau lebih baru. Laravel News menyarankan memeriksa apakah ada guard yang memakai driver token pada konfigurasi autentikasi, dan memprioritaskan aplikasi tersebut bila berjalan di MySQL atau MariaDB. Pemeriksaan paket terpasang terhadap advisori yang dipublikasikan juga dianjurkan agar tidak ada komponen lain yang tertinggal. Di sisi PHP, pengguna produk Laravel perlu mengikuti langkah sesuai layanan yang dipakai, mulai dari memperbarui server di Forge hingga menyebarkan ulang aplikasi di Vapor. Aplikasi yang masih berjalan di versi PHP atau Ubuntu yang tidak lagi mendapat perbaikan sebaiknya direncanakan migrasinya.
Informasi dalam artikel ini mengacu pada pengumuman resmi Laravel, advisori keamanan di GitHub, dan laporan Laravel News. Rincian teknis dan versi dapat diperbarui sewaktu waktu oleh Laravel, sehingga pengembang dianjurkan memeriksa halaman advisori resmi sebelum mengambil keputusan. Tim teknis yang mengelola server dan aplikasi sebaiknya menjadikan kabar ini sebagai pengingat untuk memeriksa kebijakan pembaruan rutin. Artikel ini disusun pada Senin, 26 Oktober 2026.
