Filament security-updates 2026: welke versie heb je nu nodig?

Filament heeft in 2026 een reeks security advisories gepubliceerd. Het gaat om lekken in multi-factor authenticatie (MFA), stored XSS en een bestandsupload die zonder login werkte. Geen van deze lekken is op zichzelf een ramp. Samen zijn ze een duidelijke reden om je Filament-versie vandaag te controleren.

Draai je een back-office, klantportaal of beheeromgeving op Filament? Dan lees je hier welke versie je minimaal nodig hebt, hoe je dat in twee commando's checkt, en waar je in je eigen code op let.

Wat is er aan de hand?

Filament is een veelgebruikt admin- en panel-framework voor Laravel. In mei, augustus en oktober 2026 publiceerde het Filament-team meerdere advisories op GitHub. Vijf daarvan hebben een CVE-nummer en springen eruit:

MFA: twee lekken in de app-codes

CVE-2026-84306 gaat over de eenmalige codes uit een authenticator-app. Dezelfde code twee keer insturen werd al geblokkeerd. Maar een andere code binnen het geldige tijdvenster werd nog geaccepteerd, ook nadat de gebruiker al met een nieuwere code was ingelogd. Heeft een aanvaller het wachtwoord én één code, dan blijft die code volgens de advisory ongeveer vier minuten bruikbaar bij standaardinstellingen. MFA via e-mail is niet geraakt.

CVE-2026-48505 is een race condition in de recovery codes. Door dezelfde recovery code gelijktijdig in te sturen, kon een aanvaller er meer dan één sessie mee openen. Dat vereist wel het wachtwoord en de recovery codes. Het speelt alleen als recovery codes aanstaan.

Let op: in augustus verscheen ook CVE-2026-77567 (High, 8.1). Daarmee kon de tweede factor van app-based MFA worden omzeild als recovery codes aanstaan. Opgelost in 4.12.0 en 5.7.0.

Stored XSS in ImageColumn en ImageEntry

CVE-2026-48167: de componenten ImageColumn (tabellen) en ImageEntry (infolists) gaven waarden uit de database ongeëscaped weer. Kan een gebruiker zelf bepalen wat er in dat veld komt, bijvoorbeeld een avatar-URL in een klantportaal, dan kon hij HTML of JavaScript planten. Die code draait dan bij iedereen die de tabel bekijkt. In een back-office betekent dat: bij je beheerders.

Upload zonder login op gastpagina's

CVE-2026-48500: Filament koppelt Livewire's WithFileUploads aan elk component waar een schema in zit. Ook aan het loginformulier, dat helemaal geen upload nodig heeft. Een aanvaller zonder account kon daardoor willekeurige bestanden in de tijdelijke uploadopslag zetten. De advisory noemt als risico: schijfruimte vol laten lopen of opslagkosten opdrijven. Dit is het enige lek uit de lijst dat ook Filament 3 raakt.

Scope-controle bij Attach en Associate

CVE-2026-48067: met recordSelectOptionsQuery() beperk je welke records een gebruiker in de Select van AttachAction of AssociateAction ziet. De validatie paste die beperking niet toe. Een gebruiker die de actie mag uitvoeren, kon de Livewire-state aanpassen en een record buiten zijn scope koppelen. In een multi-tenant portaal is dat precies het soort lek dat je niet wilt.

En in oktober nog vijf

Op 8 en 14 oktober 2026 kwamen er nog vijf advisories bij, nog zonder CVE-nummer: onder meer XSS via bestandsnamen bij FileUpload, XSS via tenant-namen in de tooltip, een MFA-omzeiling via e-mail in multi-panel-apps met botsende user-ID's, en resource-pagina's die toegang hielden na een scopewijziging. Die zijn opgelost in 4.15.0 / 5.10.0, en de tenant-tooltip in 3.3.57 / 4.15.2 / 5.10.2.

Welke versie heb je nu nodig?

Wil je alle hierboven genoemde advisories dicht hebben, dan is dit het minimum:

• Filament 5: 5.10.2 of hoger (actueel bij schrijven: 5.11.0)
• Filament 4: 4.15.2 of hoger (actueel: 4.16.0)
• Filament 3: 3.3.57 of hoger (de laatste 3.x-release)

Over Filament 3: volgens het officiële supportbeleid krijgt 3.x geen bugfixes meer sinds 1 augustus 2026, maar wel security fixes tot 1 januari 2028. Filament 4 krijgt bugfixes tot 15 januari 2027 en security fixes tot 15 januari 2028. Filament 2 krijgt sinds 1 januari 2026 niets meer. Draai je nog op 2.x, dan is updaten binnen de reeks geen optie. Dan moet je migreren.

Hoe check je het met Composer?

Op je server of lokaal, in de root van je Laravel-project:

composer show 'filament/*'

Dat toont de geïnstalleerde versies van alle Filament-pakketten. Ze moeten allemaal op dezelfde versie staan.

Daarna:

composer audit

composer audit vergelijkt je composer.lock met de bekende security advisories en laat zien welke pakketten kwetsbaar zijn. Draai dit ook in je CI-pipeline, dan zie je het voortaan vanzelf.

Bijwerken binnen je huidige major-versie:

composer update "filament/*" -W
php artisan filament:upgrade

Test daarna je panels op een staging-omgeving voordat je naar productie gaat. Een minor-update binnen dezelfde major hoort geen breaking changes te hebben, maar je eigen custom componenten kunnen anders reageren.

Waar let je op in je eigen Filament-code?

Updaten dicht de lekken in Filament zelf. Een paar zaken liggen bij jou.

1. Wie vult de data die je toont?

XSS via ImageColumn werkte omdat de waarde ongevalideerd uit de database kwam. Valideer alles wat gebruikers kunnen invoeren: URL's, bestandsnamen, tenant-namen. In een klantportaal zijn je klanten de "gebruikers" en dus de mogelijke aanvallers.

2. Waar staan je uploads?

Bestanden op een public disk, geserveerd vanaf het domein van je app, zijn een XSS-risico. Gebruik waar mogelijk een private disk of een apart domein. Gebruik preserveFilenames() alleen bij gebruikers die je vertrouwt.

3. Scopes zijn geen autorisatie

recordSelectOptionsQuery() en resource-scopes bepalen wat iemand ziet. Dwing met policies af wat iemand mag. Filament merkt bij de oktober-fix zelf op dat relation managers en widgets niet automatisch opnieuw gecontroleerd worden.

4. MFA aan, en recovery codes bewust

Zet MFA aan voor iedereen met beheerrechten. Gebruik je recovery codes, update dan zeker, want twee van de 2026-lekken (CVE-2026-48505 en CVE-2026-77567) raken juist die combinatie.

Hoe check je of je al geraakt bent?

• Zoek in je database naar HTML of <script in velden die je in ImageColumn, ImageEntry of als tenant-naam toont.
• Kijk in je tijdelijke uploadmap. Livewire zet tijdelijke uploads standaard in livewire-tmp/ op je default disk. Onverklaarbaar veel of grote bestanden daar kunnen wijzen op misbruik van CVE-2026-48500. Gebruik je S3, controleer dan of de lifecycle-regel voor opruimen actief is.
• Controleer logins. Kijk in je logs of sessies bij beheerders vanaf onbekende IP-adressen kwamen, vooral rond MFA-challenges.
• Controleer koppelingen. Bij multi-tenant apps: staan er records gekoppeld aan een tenant waar ze niet thuishoren?

Vind je iets? Isoleer, bewaar logs en roteer wachtwoorden en MFA-secrets van de betrokken accounts. Bij twijfel: zie wat te doen als je gehackt bent.

Wij bouwen en onderhouden Laravel-maatwerk, inclusief Filament-back-offices en klantportalen. Meer over hoe we Laravel-applicaties beveiligen lees je op Laravel security. Wil je dat we je Filament-installatie nalopen? Na een korte analyse krijg je een onderbouwde inschatting. Plan een gesprek.