Laravelで人気のあるフルスタックUIフレームワーク「Livewire」のバージョン3系に、認証不要でリモートコマンド実行（RCE）が可能となるクリティカルな脆弱性（CVE-2025-54068）が発見されました。この脆弱性は、Livewire v3.0.0-beta.1 から v3.6.3 までのすべてのバージョンに影響し、攻撃者は認証なし・ユーザー操作なしで任意のコマンドを実行可能です。
脆弱性の対象バージョン
Livewire v3.0.0-beta.1 〜 v3.6.3
対策：アップグレード以外の回避策なし
この脆弱性にはワークアラウンド（回避策）が存在せず、唯一の対応策はLivewireをv3.6.4以降にアップデートすることです。
Livewire開発元は、パッチでHydration処理におけるバリデーション強化と、悪意ある入力の排除を実装済みとしています。ComposerでLivewireを使用している場合、以下のコマンドでバージョンの確認と更新が可能です。
また、CI/CD環境でのデプロイ前には、composer audit やSCAツールでCVE-2025-54068の有無をチェックすることが推奨されます。
脆弱性の概要
Livewire v3は、ブラウザ側の状態（UIの状態など）をサーバーサイドのコンポーネントプロパティに同期（hydration）するアーキテクチャを持っていますが、この処理において不正なリクエストが検証されず、サーバー側でそのまま実行される脆弱性が確認されました。
特別に細工されたデータを含むリクエストを送信するだけで、攻撃者は任意のシステムコマンドを実行できるため、完全なシステム制御が奪われる恐れがあります。
被害の可能性と影響
この脆弱性を利用された場合、以下の被害が想定されます
-
機密データの窃取（設定ファイル、認証情報など）
-
サーバー上のファイル改ざん・削除
-
バックドアの設置やランサムウェアの展開
-
マルチテナント環境における横展開（他テナントへの侵害）
-
CI/CDパイプライン経由での再感染・再展開
LivewireはLaravelアプリケーションの中でも利用頻度が高く、特に動的UIやリアルタイム通信が求められるシステムで採用されています。よって、ECサイト、社内業務ポータル、B2B SaaSなど、数百万単位のアプリケーションが危険に晒されていると見られています。
関連記事
Anthropic Project Glasswing、AI史上最強モデルClaude Mythosがサイバーセキュリティのあり方を塗り替える
札幌市の個人情報漏えいの可能性、サポート詐欺だったと判明
FortinetのFortiSOAR / FortiWebに新たな認証関連の脆弱性(CVE-2025-59808／CVE-2025-64471)
イギリス政府、ハッカーやランサムウェア グループへの身代金 支払いの禁止を発表
SonicWall「SMA1000」シリーズに深刻なSSRF 脆弱性(CVE-2025-40595)
Microsoft Edgeに深刻な2件の脆弱性(CVE-2025-6554,CVE-2025-49713)
Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）
Notepad++のアップデータに深刻な脆弱性、更新プロセスを乗っ取られマルウェアが配布される恐れ(CVE-2023-40031)
中小企業のセキュリティ対策、7割が基本的な対策を実施も課題残る-IPA調査
