Laravel veröffentlichte die Sicherheitsmeldungen am 20. Oktober 2026. Die kritische Lücke steckt in Illuminate\Auth\TokenGuard. Betroffen ist dieser Pfad, wenn config/auth.php einen Guard mit dem Treiber token und dem Provider users definiert. Unter MySQL und MariaDB konnte ein nicht authentifizierter Angreifer einen speziell präparierten Wert übergeben, der kein String war. Die Authentifizierungsabfrage konnte dadurch einen falschen Benutzerdatensatz finden, statt die Anmeldung abzulehnen. So ließ sich jedes Konto auf Routen übernehmen, die diesen Guard schützen.

terminal
composer update laravel/framework

Die Lücke trägt die Kennung GHSA-f9x3-7vq9-cph6 und den CVSS-Wert 9.2. Hristijan Manasijev meldete sie. Vor der Korrektur prüfte der Guard nur, ob das übergebene Token nicht leer war. Der Patch ergänzt in user() und validate() die Prüfung is_string($token). Arrays und andere Nicht-String-Werte werden dadurch vor der Datenbankabfrage zurückgewiesen. Die Meldung bezieht sich nur auf den Token-Treiber. Sanctum und Passport registrieren eigene Guard-Treiber und werden dort nicht als betroffen aufgeführt.

Manasijev meldete am selben Tag eine zweite Lücke. Eine präparierte Anfrage an einen schreibgeschützten JSON:API-Endpunkt konnte unter bestimmten Bedingungen eine destruktive Operation auf einer verknüpften Tabelle auslösen. Ein Benutzer mit reinen Leserechten konnte die Tabelle dadurch leeren. Die Lücke ist als GHSA-5wcm-3v2w-8362 erfasst und erreicht CVSS v3.1 6.5, also die Einstufung mittel. Betroffen sind die mit Laravel 12.45.0 eingeführten JSON:API-Ressourcen. Der Patch ändert das Laden der von einer Anfrage angeforderten Beziehungen.

Die Token-Guard-Lücke betrifft Versionen unter 12.68.0 und unter 13.29.0. Die JSON:API-Lücke betrifft 12.45.0 bis unter 12.68.0 sowie Versionen unter 13.27.0. Behoben ist der Bypass in Laravel 12.68.0 und 13.29.0, die JSON:API-Lücke in Laravel 12.68.0 und 13.27.0. Laravel veröffentlichte 12.68.0 und 13.29.0 am 25. August 2026. Anwendungen, die seit diesem Datum aktualisiert wurden, enthalten beide Korrekturen. Patches gibt es nur für die Zweige 12.x und 13.x.

Betreiber sollten laravel/framework mit composer update laravel/framework aktualisieren. Danach sollten sie config/auth.php auf Guards mit dem Token-Treiber prüfen und Anwendungen mit MySQL oder MariaDB priorisieren. composer audit vergleicht die installierten Pakete mit den veröffentlichten Meldungen. Beide Advisories stehen auf der Laravel-Sicherheitsseite für laravel/framework.