Celah Keamanan Laravel dan Next.js: Cek Versi Anda

Celah keamanan Laravel dan Next.js yang diumumkan pada Oktober 2026 sama-sama berstatus kritis, dan perbaikannya sudah tersedia. Laravel menerbitkan advisory GHSA-f9x3-7vq9-cph6 pada 19 Oktober 2026. Pembaruan keamanan Next.js tertanggal 14 Oktober 2026 masuk ke GitHub Advisory Database pada 22 Oktober 2026. Jika website atau aplikasi bisnis Anda dibangun dengan salah satu framework ini, langkah pertamanya sederhana: pastikan versinya sudah memuat perbaikan.

Versi aman untuk Laravel adalah 13.29.0 atau 12.68.0. Untuk Next.js, versi aman adalah 16.4.1 atau 15.5.28. Advisory dari kedua framework tidak menyebut adanya eksploitasi aktif, jadi tidak perlu panik. Namun sebagian celah bisa dimanfaatkan tanpa login, sehingga pembaruan sebaiknya tidak menunggu jadwal rutin berikutnya.

Artikel ini membahas dua sisi. Pemilik bisnis mendapat daftar pertanyaan untuk vendor atau tim IT. Developer mendapat perintah untuk mengecek versi, memperbarui, dan memeriksa log.

Celah Keamanan Laravel CVE-2026-114509: Siapa yang Terdampak?

Celah CVE-2026-114509 mendapat skor CVSS 9.2 (kritis). Masalahnya ada pada TokenGuard, mekanisme bawaan Laravel untuk memeriksa token API. Menurut advisory, penyerang yang tidak login bisa masuk sebagai pengguna lain yang sudah terdaftar tanpa mengetahui token milik pengguna itu. Caranya dengan mengirim nilai kredensial bukan teks (non-string) yang dirancang khusus, sehingga pencarian pengguna di database justru cocok dengan akun yang salah.

Celah ini hanya berlaku bila beberapa syarat terpenuhi sekaligus:

• Aplikasi memakai guard API berbasis token standar, yaitu TokenGuard. Di kode Laravel, guard ini dipakai bila ada guard dengan 'driver' => 'token' di config/auth.php.
• Database memakai MySQL atau MariaDB dengan konfigurasi tertentu. Advisory tidak merinci konfigurasi mana yang dimaksud.
• Versi laravel/framework di bawah 13.29.0 untuk seri 13, atau di bawah 12.68.0.

Dampaknya adalah pengambilalihan akun pada semua rute yang dilindungi guard tersebut. Advisory tidak memberikan workaround, jadi satu-satunya perbaikan yang didukung adalah memperbarui framework.

Ada dua catatan penting. Pertama, advisory tidak menyebut Laravel Sanctum maupun Passport. Jangan menganggap aplikasi yang memakai salah satunya otomatis aman atau otomatis terdampak. Periksa isi config/auth.php secara langsung. Kedua, perbaikan hanya dirilis untuk seri 12 dan 13, sedangkan rentang terdampak mencakup semua versi di bawah 12.68.0. Menurut kebijakan dukungan resmi Laravel, perbaikan keamanan Laravel 11 berakhir 12 Maret 2026 dan Laravel 10 berakhir 4 Februari 2025. Aplikasi di versi tersebut perlu naik versi mayor, bukan sekadar update kecil.

Tiga Celah Next.js dalam Pembaruan 14 Oktober 2026

Tim Next.js merilis pembaruan keamanan di luar jadwal rutin pada 14 Oktober 2026 untuk tiga masalah berikut.

1. RCE pada fungsi use cache (kritis)

RCE (remote code execution) berarti penyerang bisa menjalankan perintah di server Anda dari jarak jauh. Celah GHSA-673q-mjm6-r5xr dengan skor CVSS 9.5 ini terjadi pada aplikasi yang memakai App Router dengan Cache Components, ketika fungsi use cache mengembalikan beberapa typed array. Penyerang tidak perlu login. Versi terdampak 16.0.0 sampai 16.4.0, dan perbaikannya ada di 16.4.1. Tidak ada workaround. Tim Next.js menyarankan tetap memperbarui walaupun aplikasi Anda tidak punya fungsi seperti itu.

2. RCE di Image Optimization API dengan SVG (kritis)

Celah CVE-2026-96889 atau GHSA-2464-fhr4-w9xw berasal dari masalah memori pada library upstream yang dipakai untuk optimasi gambar. Celah ini bisa berujung RCE ketika Next.js berjalan di Linux berbasis glibc. Versi terdampak cukup luas: 10.0.0 sampai 15.5.27, serta 16.0.0 sampai 16.4.0. Workaround yang disebut advisory adalah memastikan paket sharp yang dipakai Next.js sudah versi 0.35.5 atau lebih baru. Advisory tidak menjelaskan bagaimana file SVG memicu celah ini, jadi alasan "kami tidak memakai SVG" belum cukup sebagai jaminan.

3. Denial of Service pada Server Actions (tinggi)

Celah GHSA-p3m5-59mp-jv5r memungkinkan permintaan yang dirancang khusus membuat pemakaian CPU melonjak pada aplikasi App Router yang punya minimal satu Server Action. Akibatnya, permintaan lain di proses yang sama ikut tertahan dan website tidak bisa diakses. Aplikasi yang memakai Pages Router atau tidak memakai Server Actions tidak rentan.

Versi aman Next.js adalah 16.4.1 (Active LTS) dan 15.5.28 (Maintenance LTS). Next.js 14 atau lebih lama masuk rentang celah Image Optimization tanpa rilis perbaikan di serinya. Pilihannya naik ke 15.5.28, atau sementara memastikan sharp sudah 0.35.5 ke atas.

Cara Cek Versi Laravel dan Next.js di Aplikasi Anda

Pemeriksaan ini cukup beberapa menit bila developer punya akses ke kode atau server.

Laravel

Jalankan perintah berikut di folder proyek untuk melihat versi yang benar-benar terpasang:

composer show laravel/framework

Cara lain, buka composer.lock, cari blok "name": "laravel/framework", lalu lihat nilai "version". Setelah itu, periksa apakah ada guard berbasis token:

grep -n "'driver'" config/auth.php

Bila muncul 'driver' => 'token' dan nilai DB_CONNECTION di .env adalah mysql atau mariadb, aplikasi memenuhi syarat celah ini. Pembaruan menjadi prioritas utama.

Next.js

npm ls next sharp

Perintah ini menampilkan versi next dan sharp yang terpasang. Jangan hanya melihat package.json, karena isinya sering berupa rentang seperti ^15.5.0. Versi yang benar-benar dipakai tercatat di lockfile (package-lock.json, yarn.lock, atau pnpm-lock.yaml).

Langkah Update yang Aman: Backup, Staging, dan Cek Log

Pembaruan keamanan sebaiknya cepat, tetapi tetap terkendali. Urutan berikut membantu mengurangi risiko website error setelah update.

1. Backup dahulu. Simpan salinan database dan kode sebelum mengubah apa pun, dan pastikan backup bisa dipulihkan. Penjelasannya ada di artikel fungsi SSL dan backup website.
2. Perbarui di staging. Untuk Laravel 12 atau 13, jalankan composer update laravel/framework --with-all-dependencies, lalu cek ulang dengan composer show laravel/framework. Laravel menyatakan rilis minor dan patch tidak boleh membawa breaking change, jadi update dalam satu seri biasanya ringan. Untuk Next.js, jalankan npm install [email protected] atau npm install [email protected] sesuai seri, lalu pastikan sharp ikut terbarui.
3. Uji alur penting. Coba login, API yang dipakai aplikasi mobile, formulir, checkout, dan unggah gambar. Fokus pada fitur yang menghasilkan uang atau menyimpan data pelanggan.
4. Rilis ke produksi. Catat waktu rilis dan siapkan cara kembali ke versi sebelumnya bila ada masalah.
5. Periksa log. Bila aplikasi Laravel Anda memenuhi syarat celah TokenGuard, telusuri log akses API sebelum tanggal update. Cari akun yang diakses dari alamat IP asing, aktivitas akun admin di jam tidak wajar, dan permintaan yang mengirim token dalam format selain teks biasa. Penelusuran ini lebih mudah bila aplikasi sudah punya audit trail yang mencatat siapa mengubah data.

Bila ditemukan tanda akses janggal, cabut dan buat ulang token API, ganti kredensial akun yang terdampak, lalu periksa data yang mungkin berubah.

Pertanyaan untuk Vendor atau Tim IT Anda

Pemilik bisnis tidak perlu menjalankan perintah di atas sendiri. Yang perlu dipastikan adalah ada orang yang bertanggung jawab dan jawabannya jelas. Kirim pertanyaan berikut ke vendor atau tim IT:

• Framework dan versi apa yang dipakai website atau aplikasi kami, baik di backend maupun frontend?
• Apakah aplikasi kami terdampak advisory Laravel GHSA-f9x3-7vq9-cph6 atau pembaruan keamanan Next.js 14 Oktober 2026? Apa dasar penilaiannya?
• Kapan terakhir kali aplikasi kami di-patch, dan kapan update berikutnya dijadwalkan?
• Siapa yang memantau advisory keamanan, dan lewat saluran apa?
• Apakah ada lingkungan staging dan backup yang diuji sebelum update dipasang?
• Apakah update keamanan seperti ini termasuk kontrak maintenance, atau dihitung terpisah?

Pertanyaan terakhir sering terlupa saat proyek dimulai. Website yang sudah jadi tetap butuh pemeliharaan, karena celah baru pada framework bisa muncul kapan saja, seperti pada Oktober 2026. Kontrak maintenance yang jelas menyebut siapa yang memantau advisory, target waktu pemasangan patch, dan cara melaporkannya ke Anda. Bila vendor lama sudah tidak aktif, minta bantuan konsultan IT untuk audit sistem dan aplikasi agar kondisi aplikasi bisa dipetakan ulang.

Pertanyaan yang Sering Diajukan

Apakah website saya pasti terdampak kalau memakai Laravel?

Tidak pasti. Celah TokenGuard butuh beberapa syarat: guard dengan driver token, database MySQL atau MariaDB dengan konfigurasi tertentu, dan versi di bawah 13.29.0 atau 12.68.0. Tetap perbarui ke versi aman, karena itu cara paling sederhana untuk menutup kemungkinan.

Aplikasi saya memakai Sanctum. Apakah aman?

Advisory tidak menyebut Sanctum maupun Passport, jadi tidak bisa disimpulkan aman atau terdampak. Periksa apakah masih ada guard token di config/auth.php, dan tetap perbarui framework.

Apakah celah ini sudah dipakai untuk menyerang?

Sampai akhir Oktober 2026, advisory Laravel dan Next.js tidak menyebut adanya eksploitasi aktif. Namun beberapa celah bisa dipakai tanpa login, jadi jangan menunggu laporan serangan untuk memperbarui.

Website saya memakai hosting terkelola. Apakah otomatis aman?

Belum tentu. Versi framework ada di kode aplikasi, bukan di paket hosting. Tanyakan ke pihak yang mengelola kode apakah versinya sudah diperbarui.

Bila Anda belum yakin framework dan versi apa yang dipakai sistem bisnis Anda, tim Anaverse bisa membantu memeriksa kondisinya dan menyusun rencana pemeliharaan yang realistis. Ceritakan kebutuhan Anda lewat halaman kontak Anaverse.

Referensi

• Laravel: TokenGuard authentication bypass (GHSA-f9x3-7vq9-cph6)
• GitHub Advisory Database: CVE-2026-114509
• Next.js: Security Update for Upstream Vulnerabilities (14 Oktober 2026)
• GitHub Advisory Database: GHSA-673q-mjm6-r5xr (RCE use cache)
• GitHub Advisory Database: GHSA-2464-fhr4-w9xw (RCE Image Optimization)
• Laravel: Release Notes dan Support Policy
• Laravel Framework: AuthManager.php (driver token)