Il 22 ottobre 2026 il CSIRT Italia, il gruppo dell’Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, ha pubblicato l’alert AL02/261022/CSIRT-ITA su una vulnerabilità di Laravel, un framework open source molto usato per sviluppare applicazioni web. La falla è identificata come CVE-2026-114509 e ha un punteggio CVSSv4 di 9.2. Secondo l’alert è disponibile un proof of concept, cioè un codice dimostrativo che mostra come sfruttarla. L’impatto sistemico è classificato come critico (78.46).
Chi è coinvolto
Secondo l’alert sono interessate le applicazioni costruite con Laravel nelle seguenti versioni:
- Laravel, versioni precedenti alla 13.29.0
- Laravel, versioni precedenti alla v12.68.0
Il problema riguarda in particolare i sistemi che usano determinate configurazioni di MySQL o MariaDB, due database molto diffusi.
Che rischio c’è
La vulnerabilità è di tipo “Authentication Bypass”, cioè permette di aggirare il controllo con cui un sito verifica l’identità di chi accede. Secondo l’alert dipende da un controllo mancante nel componente TokenGuard di Laravel, che gestisce l’accesso alle API, le interfacce tramite cui programmi e servizi comunicano con un’applicazione. Il componente non verifica adeguatamente il tipo di dato della credenziale ricevuta, che dovrebbe essere una stringa di testo.
Un attaccante non autenticato potrebbe quindi inviare richieste HTTP costruite ad arte verso le route API, cioè gli indirizzi che espongono le funzioni dell’applicazione, fornendo una credenziale che non è una stringa. In presenza delle configurazioni di MySQL o MariaDB indicate, la richiesta al database che verifica l’accesso potrebbe selezionare un utente esistente diverso da quello previsto.
Il risultato, secondo l’alert, è l’aggiramento dell’autenticazione e la compromissione dell’account senza conoscere il token API. In pratica un estraneo potrebbe presentarsi come un altro utente. L’alert classifica il problema anche come spoofing, cioè sostituzione di identità. Per la CVE non risulta, nella tabella dell’alert, uno sfruttamento attivo: è indicata solo la presenza del proof of concept.
Cosa fare
L’alert, in linea con le dichiarazioni del produttore, raccomanda di aggiornare i prodotti interessati. Per le applicazioni Laravel significa passare almeno alla versione 13.29.0 o alla v12.68.0, a seconda della serie in uso.
Due verifiche di buon senso possono aiutare:
- controllare quale versione di Laravel usano i propri siti e applicazioni, anche quelli gestiti da terzi;
- avvisare il fornitore IT o lo sviluppatore, se l’applicazione non è gestita internamente, per concordare l’aggiornamento.
Il dettaglio tecnico della vulnerabilità è descritto nell’avviso di sicurezza pubblicato dal progetto Laravel su GitHub, indicato come riferimento nell’alert.
Fonte: alert AL02/261022/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 22 ottobre 2026 (impatto sistemico critico). Leggi l’alert originale.
