CVE-2026-114509: Laravel TokenGuard Autenticazione Bypassabile

Il CVE-2026-114509 interessa Laravel, framework web diffuso, in particolare il componente TokenGuard utilizzato per l'autenticazione API. La falla risiede nel trattamento non corretto delle credenziali non-string: sotto specifiche configurazioni di MySQL o MariaDB, il meccanismo di verifica confonde identità diverse, permettendo a un attaccante non autenticato di assumere l'identità di un utente legittimo senza fornire credenziali valide. Qualsiasi applicazione Laravel con TokenGuard attivo su questa configurazione espone utenti e dati al rischio immediato di account takeover.

Il CVSS 9,2 riflette il potenziale distruttivo: accesso completo ad account aziendali, dati sensibili, operazioni fraudolente. La falla è stata confermata da Laravel con patch pubblicate il 21 ottobre 2026 nelle versioni 12.68.0 e 13.29.0. Su social network, crescente consapevolezza della criticità negli ultimi giorni, incluso un post odierno che la evidenzia (segnali non verificati dal punto di vista tecnico). Nessun exploit pubblico confermato al momento, ma la semplicità dichiarata della tecnica di sfruttamento rende probabile l'adozione rapida da parte di attori malevoli.

I team IT e CISO devono prioritizzare l'identificazione di tutte le istanze Laravel in produzione e verificare le versioni in uso. Se inferiore a 12.68.0 (serie 12.x) o 13.29.0 (serie 13.x), l'aggiornamento è critico entro 24–48 ore. Revisionare i log di autenticazione da fine settembre a oggi per accessi anomali (IP sconosciuti, orari inusuali, account amministrativi) che potrebbero indicare sfruttamento preventivo. Una configurazione MySQL con validazione di tipo rigorosa può ridurre il rischio fino all'aggiornamento.