라라벨 인증 우회 취약점, 내 프로젝트도 해당될까? 버전 확인부터 업데이트까지 4단계

핵심 POINT

라라벨 프로젝트는 2026년 10월 laravel/framework 보안 권고(GHSA-f9x3-7vq9-cph6)를 통해 토큰 가드(TokenGuard)의 인증 우회 취약점(CVE-2026-114509)을 공개했습니다. 라라벨 전문 매체 라라벨 뉴스(Laravel News)는 10월 20일 이 권고를 소개하며 가능한 한 빨리 업그레이드하라고 안내했고, KISA는 10월 23일 영향 버전 사용자에게 해결 버전으로 업데이트하라는 권고를 게시했습니다.

권고에 따르면 MySQL이나 MariaDB 환경에서 토큰 가드를 쓰는 서비스에서는 인증되지 않은 공격자가 조작한 값을 보내 기존 사용자로 인증될 수 있습니다. 해당 가드로 보호되는 경로에서는 계정 탈취로 이어질 수 있다는 설명입니다. 공개된 자료에서는 실제 악용 사례를 확인하지 못했습니다.

이 글에서는 어떤 프로젝트가 대상인지 판단하는 조건 3가지, 버전 확인부터 업데이트까지의 4단계, 라라벨 11 이하를 쓰는 경우의 대응 방향, 업데이트 이후 운영 점검 항목을 차례로 살펴봅니다.

■ 라라벨 인증 우회 취약점, 토큰 검증 누락 문제

출처: AI(ChatGPT) 생성 이미지

GitHub 보안 권고에 따르면 문제는 라라벨에 기본 포함된 토큰 가드에 있습니다. API 요청으로 받은 토큰이 문자열인지 확인하지 않고 사용자 조회에 넘겨, MySQL이나 MariaDB에서 조작된 문자열이 아닌 값이 의도하지 않은 사용자 레코드와 일치할 수 있습니다. 공격자는 해당 사용자의 API 토큰을 몰라도 그 사용자로 인증될 수 있습니다.

위험도는 CVSS v4 기준 9.2(Critical)입니다. 공격에 로그인이나 사용자 조작이 필요 없고 네트워크로 접근할 수 있다는 점이 점수에 반영됐습니다. 약점 분류는 부적절한 인증(CWE-287)입니다.

수정 내용은 단순합니다. 라라벨 뉴스에 따르면 토큰 가드의 사용자 조회 함수와 검증 함수에 문자열인지 확인하는 조건(is_string)을 추가해, 배열 같은 값은 데이터베이스에 질의하기 전에 거부합니다.

[표] 라라벨 버전별 영향 여부와 해결 버전 (GitHub 보안 권고, 라라벨 뉴스 2026.10.20, KISA 2026.10.23)

라라벨 뉴스는 12.68.0과 13.29.0이 8월 25일에 이미 릴리스됐다고 설명했습니다. 그 이후 laravel/framework를 업데이트한 프로젝트는 이미 수정 버전을 쓰고 있을 수 있어, 먼저 설치된 버전부터 확인하는 것이 순서입니다.

■ 내 프로젝트가 대상인지 판단하는 조건 3가지

출처: AI(ChatGPT) 생성 이미지

라라벨 뉴스에 따르면 이번 권고는 token 드라이버를 쓰는 가드만 다룹니다. 아래 세 가지를 모두 확인해야 공격 대상 여부를 정확히 판단할 수 있습니다.

❶ 영향 범위에 드는 라라벨 버전인지

12.68.0 미만이거나 13.29.0 미만이면 영향 범위입니다. 해결 버전 이상이면 이 취약점은 수정된 상태입니다.

❷ 설정 파일에 token 방식 가드가 있는지

config/auth.php의 guards 항목에서 driver가 token으로 지정된 가드가 있으면 토큰 가드를 쓰는 것입니다. 라라벨 뉴스가 소개한 설정 예시는 아래와 같습니다.

'guards' => [
    'api' => [
        'driver' => 'token',
        'provider' => 'users',
    ],
],

라라벨 뉴스는 Sanctum과 Passport는 각자 가드 드라이버를 등록하므로 이번 권고에 포함되지 않는다고 설명했습니다. 이들 패키지만 쓰는 프로젝트는 토큰 가드 조건에서는 벗어납니다.

❸ 데이터베이스가 MySQL 또는 MariaDB인지

권고는 MySQL과 MariaDB 환경에서 조작된 값이 의도하지 않은 사용자와 일치할 수 있다고 설명합니다. 두 조건이 겹치는 프로젝트가 우선 점검 대상입니다. 다른 데이터베이스를 쓰더라도 해결 버전 이상으로 올려 두는 것이 권고됩니다.

■ 버전 확인부터 업데이트까지 4단계

‍

아래 순서로 개발 서버에서 먼저 확인한 뒤 운영에 반영하는 방식을 권합니다.

❶ 라라벨 버전 확인

• 프로젝트 폴더에서 php artisan --version 명령을 실행하면 설치된 라라벨 버전이 나옵니다.

• composer show laravel/framework 명령이나 composer.lock 파일의 laravel/framework 항목으로도 확인할 수 있습니다.

• 개발 PC뿐 아니라 운영 서버와 컨테이너 이미지에 실제로 설치된 버전을 확인해야 합니다. 서비스가 여러 개라면 프로젝트별로 정리합니다.

❷ 토큰 가드 사용 여부와 데이터베이스 확인

• config/auth.php에서 driver가 token인 가드를 찾고, 어떤 API 경로가 그 가드로 보호되는지 확인합니다.

• 사용 중인 데이터베이스가 MySQL 또는 MariaDB인지 확인합니다. 두 조건에 모두 해당하는 서비스를 업데이트 우선순위 위로 올립니다.

❸ 수정 버전으로 업데이트

• 라라벨 뉴스는 composer update laravel/framework 명령으로 12.68.0 또는 13.29.0 이상으로 올리라고 안내합니다.

• composer.json에 버전 제한이 걸려 있으면 수정 버전이 설치되지 않을 수 있으므로, 제한 범위가 해결 버전을 포함하는지 먼저 봅니다.

• 업데이트 후에는 인증이 필요한 API 경로가 정상 동작하는지 테스트하고 배포합니다.

❹ 적용 결과 확인

• 업데이트한 뒤 composer show laravel/framework로 설치 버전이 해결 버전 이상인지 다시 확인합니다.

• 라라벨 뉴스가 안내한 composer audit 명령은 설치된 패키지를 공개된 보안 권고와 대조해 줍니다. 이번 건 외의 알려진 취약점도 함께 점검할 수 있습니다.

• 컨테이너로 배포하는 서비스는 이미지를 다시 빌드해 배포해야 실제 운영 환경에 반영됩니다.

출처: AI(ChatGPT) 생성 이미지

■ 라라벨 11 이하를 쓰고 있다면?

‍

라라벨 뉴스에 따르면 이번 취약점은 12.68.0 미만 모든 버전이 영향 대상으로 나와 있지만 수정 버전은 12.x와 13.x에만 제공됩니다. 라라벨 공식 문서의 지원 정책으로 보면 라라벨 11은 보안 수정 지원이 2026년 3월 12일에 끝났고, 라라벨 10은 2025년 2월 4일에 끝났습니다.

이 경우 같은 가지에서 패치를 받을 방법이 없어, 지원되는 버전으로 업그레이드하는 것이 사실상 유일한 해결 방향입니다. 공식 문서 기준으로 라라벨 12의 보안 수정은 2027년 2월 24일까지, 라라벨 13은 2028년 3월 17일까지 제공됩니다. 이번 권고에는 11 이하를 위한 공식 임시 조치가 안내돼 있지 않아, 업그레이드가 늦어지는 서비스는 token 가드 사용 경로와 노출 범위를 먼저 파악해 우선순위를 정해야 합니다.

업그레이드는 PHP 최소 버전과 패키지 호환성이 함께 바뀌므로 테스트 환경에서 단계별로 진행하는 것이 안전합니다.

■ 업데이트 이후 운영에서 점검할 항목

‍

이번 취약점은 라라벨 프레임워크 자체의 수정으로 해결되지만, 서비스 운영 관점에서는 아래 항목을 함께 정리해 두는 것이 좋습니다.

• 서비스별 라라벨 버전과 지원 종료일을 자산 목록으로 관리합니다. 12.x는 2027년 2월, 13.x는 2028년 3월까지 보안 수정이 제공됩니다.

• 같은 날 공개된 두 번째 권고(GHSA-5wcm-3v2w-8362)도 확인합니다. 라라벨 12.45.0부터 포함된 JSON:API 리소스에서 읽기 전용 요청이 관련 테이블의 데이터를 삭제할 수 있는 문제(CVSS 6.5, 중간)로, 12.68.0과 13.27.0 이상에서 수정됩니다.

• 배포 과정에 composer audit 점검을 넣어 알려진 취약점이 있는 패키지가 운영에 올라가지 않도록 합니다.

• KISA가 이번 주 초에 PHP 자체의 보안 업데이트도 권고했으므로, 프레임워크와 PHP 실행 환경의 업데이트 여부를 함께 확인합니다.

SK쉴더스는 웹 애플리케이션 모의해킹과 보안 컨설팅, 관제 서비스를 통해 기업의 서비스가 인증과 접근 통제 취약점에 노출되지 않았는지 점검하도록 지원하고 있습니다.

■ 자주 묻는 질문

‍

Q. 라라벨을 쓰면 모두 공격받을 수 있나요?

A. 그렇지 않습니다. 공개된 권고는 token 드라이버를 쓰는 가드가 있고 데이터베이스가 MySQL 또는 MariaDB인 경우를 설명합니다. 다만 수정 버전이 나온 만큼 영향 범위의 버전은 업데이트가 권고됩니다.

Q. 내 라라벨 버전은 어떻게 확인하나요?

A. 프로젝트 폴더에서 php artisan --version 명령을 실행하면 됩니다. composer show laravel/framework 명령이나 composer.lock 파일에서도 확인할 수 있고, 운영 서버에 설치된 버전도 따로 확인해야 합니다.

Q. Sanctum이나 Passport를 쓰면 영향이 없나요?

A. 라라벨 뉴스는 Sanctum과 Passport가 자체 가드 드라이버를 등록하므로 이번 권고의 대상으로 나오지 않는다고 설명했습니다. 다만 같은 프로젝트에서 config/auth.php에 token 방식 가드를 따로 두었다면 별도로 확인해야 합니다.

Q. 라라벨 11을 쓰는데 어떻게 해야 하나요?

A. 이번 취약점의 수정 버전은 12.x와 13.x에만 있고, 라라벨 11은 2026년 3월 12일에 보안 수정 지원이 끝났습니다. 지원되는 버전으로 업그레이드하는 계획을 세우고, 그전에는 token 가드로 보호되는 경로를 먼저 파악하는 것이 좋습니다.

Q. 이미 공격에 쓰이고 있나요?

A. KISA 권고와 GitHub 보안 권고, 라라벨 뉴스에는 실제 악용 사례가 언급되지 않았습니다. 다만 인증이 필요 없는 네트워크 공격이 가능한 심각한 취약점이므로 수정 버전 적용이 권고됩니다.

[콘텐츠 출처]

KISA 보호나라, Laravel 제품 보안 업데이트 권고 (2026.10.23)

GitHub Advisory Database, Laravel TokenGuard authentication bypass through non-string API credentials (CVE-2026-114509)

Laravel News, Critical Token Guard Auth Bypass Fixed in Laravel 13.29 and 12.68 (2026.10.20)

Laravel, Release Notes 13.x, Support Policy