Trusted DesignCVE-2025-54068 の詳細
CVEの情報
説明:
Livewire is a full-stack framework for Laravel. In Livewire v3 up to and including v3.6.3, a vulnerability allows unauthenticated attackers to achieve remote command execution in specific scenarios. The issue stems from how certain component property updates are hydrated. This vulnerability is unique to Livewire v3 and does not affect prior major versions. Exploitation requires a component to be mounted and configured in a particular way, but does not require authentication or user interaction. This issue has been patched in Livewire v3.6.4. All users are strongly encouraged to upgrade to this version or later as soon as possible. No known workarounds are available.
CVE更新日: 2025-07-17 19:15:25.470000
CVSSバージョン: 4.0
CVSSスコア: 9.2
KEVの情報
KEV更新日: 2026-03-20
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.973210000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: low
Automatable: True
CVE-2025-54068に関する調査結果を以下に解説します。
1. 脆弱性の概要
CVE-2025-54068は、LaravelのフルスタックフレームワークであるLivewire v3に存在する、クリティカルなリモートコード実行（RCE）の脆弱性です。この脆弱性は、Livewireコンポーネントのプロパティ更新のハイドレーション（データ復元）処理におけるコード生成の不適切な制御（CWE-94）に起因します。認証されていない攻撃者が、細工された合成タプルデータをLivewireの
hydrate()メソッドに供給することで、任意のPHPオブジェクトをインスタンス化し、コード実行を引き起こす可能性があります。1.1 影響
この脆弱性が悪用されると、認証されていないリモートの攻撃者が、脆弱なLaravel/Livewireアプリケーションが動作している基盤となるサーバー上で完全なコマンド実行を達成できます。これにより、機密性（アプリケーションの秘密情報、データベース認証情報、ユーザーデータへのアクセス）、完全性（アプリケーションファイルの改変、ウェブシェルやバックドアの設置）、および可用性（サービスの中断やリソースの乗っ取り）が完全に侵害される可能性があります。本脆弱性は、CISAの既知の悪用された脆弱性（KEV）カタログに2026年3月20日に追加されており、活発な悪用が確認されています。
1.2 深刻度
深刻度は「クリティカル」と評価されています。 * CVSS v3.1基本スコア：9.8 (Critical) * CVSS v4.0基本スコア：9.2 (Critical)
2. 対象となる環境
2.1 影響を受けるOSバージョン
特定のOSバージョンに限定されず、Livewire v3を使用しているLaravelアプリケーションが影響を受けます。
2.2 影響を受ける設定
Livewire v3.0.0-beta.1からv3.6.3までのLivewire v3リリースが影響を受けます。この脆弱性はLivewire v3に固有のものであり、それ以前のメジャーバージョンには影響しません。悪用には、コンポーネントが特定の方法でマウントされ、設定されている必要がありますが、認証やユーザーインタラクションは不要です。
3. 影響を受けた時の兆候
以下のような兆候が影響を受けた環境で確認される可能性があります。 * Livewireの更新リクエストに続いて、PHP-FPMまたはWebサーバープロセスから予期せぬ外部接続が発生する。 *
storage/、public/、bootstrap/cache/などのアプリケーションディレクトリに新規または変更されたPHPファイルが存在する。 */livewire/updateまたは/livewire/message/*エンドポイントへのHTTP POSTリクエストで、異常に大きい、または難読化されたserverMemo、updates、snapshotペイロードが送信されている。 * Webサーバーログに、Livewireエンドポイントへの200応答に続いて、シェルプロセス（sh、bash、php -rなど）が起動している記録が残る。4. 推奨対策
4.1 本対策
Livewireをv3.6.4以降のバージョンにアップデートしてください。このバージョンには脆弱性を修正するパッチが含まれています。
4.2 暫定回避策（緩和策）
検索結果からは、具体的な暫定回避策に関する詳細な情報は提供されていません。悪用には特定のコンポーネント設定が必要とされるため、該当するコンポーネントの設定見直しや一時的な無効化が考えられますが、明示的な回避策としては記載されていません。
参照したサイト