【2026年10月版】Laravelのバージョン情報・サポート期限と脆弱性情報

皆さんこんにちは。
taneCREATIVEの「ちほうタイガー」です。

この記事は、Laravel（ララベル）のバージョン情報とサポート期限についてまとめた記事で、2026年10月29日に改訂しています。

LaravelはLaravel LLCがサポートを継続している、オープンソースのPHPによるWebアプリケーションフレームワークです。

PHP自体も人気のプログラム言語ですが、Laravelはそのフレームワークとして非常に高い評価を得ています（Web制作の現場にいる感覚としてもそうですが、PeerSpotのユーザーエンゲージメントデータによると、2026年10月現在、PHPフレームワークカテゴリにおけるLaravel PHP Frameworkのマインドシェアは27.7%で、1位となっています）。

実は、フレームワークにも脆弱性が見つかります。
そのため、安全で円滑なWebサイトの運用のためには、Laravelについても最新バージョンへのアップデートが欠かせません。

この記事では、企業のWeb担当者の皆様に向けて、Laravelのバージョン情報とサポート期限についてまとめた上で、Laravelの脆弱性についてもご紹介したいと思います。

少しでも皆様のお役に立てる記事にできればと思います。
どうぞよろしくお願い致します。

Laravel（ララベル）のバージョンには、 以前は通常版とLTS版(Long Term Support)の2種類がありましたが、現在の公式リリースノートでは、通常版に統一した運用がなされています。

2026年10月29日現在、Laravelの最新バージョンは13系統であり、公式がセキュリティサポートをしているバージョンは13系統と12系統のみです。

Laravelのバージョンが11以下の場合には、緊急レベルの脆弱性が存在する可能性があります。

バグフィックスとは、セキュリティパッチの提供はもちろんのこと、軽微な不具合の修正も提供される期間です。
バグフィックス期間中は、セキュリティ上の問題を含む不具合修正が提供されます。また、後方互換性を保った新機能が追加されることもあります。

セキュリティフィックスは、セキュリティパッチが提供される期間のことを指します。
バグフィックス期間終了後は、セキュリティフィックス期限まで、セキュリティ上の問題に対する修正が提供されます。

Laravel通常版のサポート期間は、バグフィックスはリリース日から18ヵ月間、セキュリティフィックスはリリース日から2年間となっています。

これに対し、Laravel LTS版のサポート期間は、バグフィックスはリリース日から2年間、セキュリティフィックスはリリース日から3年間とされており、Laravel 9は当初はLTSと明記されていましたが、途中からその表記が消え、2年間を待たずにバグフィックス期間が終了しました。その為、LTS版はLaravel 6を最後として運用が停止されているものと考えられます。

Laravelの各バージョンについてのリリース日とサポート期限は次の通りです。

2026年3月12日に、Laravel 11におけるセキュリティフィックス期限が到来しましたので、Laravel 13系統最新版へのアップデートを推奨いたします。

なお、セキュリティフィックス期限終了後のバージョンについても、稀にバックポートによるパッチ提供がされるケースがあります。

古いバージョンをご利用の場合でも、バージョンアップを実施してください。

2026年10月29日現在における、Laravel各バージョンのサポート期限、最新バージョンは次の通りです。

※グレーのバージョンはセキュリティサポートが終了しています。
※Laravel 6 未満については5年以上古いバージョンであるため割愛しております。もし6未満のバージョンをお使いの場合でサポート期限をお知りになりたい場合や、使用になられているバージョンが分からない場合などはこちらのお問合せよりご相談ください。

上記で記載したLaravel 6からLaravel 13に影響を与える脆弱性情報で、当社が把握しているものは次の通りです。

※脆弱性情報については、情報セキュリティにおける脆弱性情報に付けられている番号であるCommon Vulnerabilities and Exposures（本記事では「CVE」とします）の順序に従って掲載しています（CVE番号が採番されていない脆弱性情報については、GitHub Advisory Databaseの番号を掲載しています）。
※深刻度については、原則として公表済みのCVSS v4.0評価値を記載しています。CVSS v4.0の評価値が公表されていないCVEについては、CVSS v3.xまたはCVSS v2.0の評価値を記載しています。
※深刻度の数値は、米国国立標準技術研究所（NIST）が提供する脆弱性データベースである National Vulnerability Database（以下「NVD」とします）に掲載されているCVSSスコアに準拠しています。NVDにてスコアリングされていない場合は、GitHub Advisory Databaseなどの製品開発元・CNAが公表しているスコアを参照しています。なお、同一CVEにCVSS v4.0とCVSS v3.xのスコアが併記されている場合は、原則としてCVSS v4.0のスコアを記載しています。
※本記事における脆弱性情報は、当社が把握しているものだけであり、全ての脆弱性情報を網羅できているわけではありません。
※本記事における脆弱性情報をご利用になる場合には、必ずCVE、JVN、NVDなどの情報を確認されたうえで、自己責任でご利用ください。

Laravelは、PHPで開発されているため、PHPの脆弱性にも影響を受けます。
そこで、Laravelの各バージョンと対応するPHPバージョン、その脆弱性情報へのリンクを掲載しておきます。

※グレーのバージョンはLaravel公式のセキュリティサポートが終了しています。

LaravelはPHPのフレームワークとして評価1位とされており、大手企業であってもLaravelを利用しているケースが多いのが現状です。

しかしながら、自社内でバージョンアップを行うにも属人化が発生してリソースが足りなくなったり、管理するWebサイト・Webシステムの数が増え、あるいはWebサイト等の規模が大きくなるにつれて社内での対応が困難になることがあります。