Kritische Sicherheitslücke in Laravel Reverb: Remote Code Execution durch unsichere Deserialisierung

Betroffene Versionen: Laravel Reverb < 1.7.0
Schweregrad: Kritisch (CVSS 9.8)
CVE: CVE-2026-23524

In Laravel Reverb wurde eine kritische Sicherheitslücke entdeckt, die Remote Code Execution (RCE) ermöglicht. Die Schwachstelle betrifft ausschließlich Installationen mit aktiviertem Horizontal Scaling (REVERB_SCALING_ENABLED=true).

Bei aktiviertem Horizontal Scaling kommunizieren Reverb-Server über Redis PubSub. Reverb hat dabei Daten aus dem Redis-Channel direkt an PHPs unserialize()-Funktion übergeben, ohne zu kontrollieren, welche Klassen instanziiert werden dürfen. Dies ermöglicht Angreifern das Einschleusen manipulierter serialisierter Objekte, die zur Ausführung beliebigen Codes führen können.

Die Gefahr wird dadurch erhöht, dass Redis-Server häufig ohne Authentifizierung betrieben werden.

Sie sind betroffen, wenn:

Laravel Reverb in einer Version < 1.7.0 eingesetzt wird
UND die Umgebungsvariable REVERB_SCALING_ENABLED=true gesetzt ist
UND Ihr Redis-Server über das Netzwerk erreichbar ist

So prüfen Sie:

Überprüfen Sie Ihre composer.json oder führen Sie composer show laravel/reverb aus
Kontrollieren Sie Ihre .env-Datei auf REVERB_SCALING_ENABLED=true
Prüfen Sie die Redis-Konfiguration auf fehlende Authentifizierung

Empfohlene Maßnahmen

Aktualisieren Sie auf Laravel Reverb v1.7.0: composer update laravel/reverb

Temporäre Absicherung (falls Update nicht möglich):

Redis absichern: Setzen Sie ein starkes Passwort für Redis und beschränken Sie den Zugriff auf private Netzwerke oder localhost
Scaling deaktivieren: Falls Sie nur einen Reverb-Node verwenden, setzen Sie REVERB_SCALING_ENABLED=false

Quelle: GitHub Security Advisory GHSA-m27r-m6rx-mhm4