Laravel Livewire v3 で認証不要のコード実行（悪用確認済み）

Critical（CVSS 9.8）に分類されるLaravel Livewireの脆弱性です。Laravel 用のフルスタックフレームワーク Livewire の v3 系に、未認証の攻撃者が特定の条件下でリモートからコマンドを実行できる欠陥がある。原因はコンポーネントのプロパティ更新をハイドレートする処理にあり、アドバイザリはコンポーネントがマウントされ特定の設定になっている必要はあるが、認証も利用者操作も不要だと述べている。影響は v3 の 3.6.3 以下（CPE では 3.0.0 以上 3.6.4 未満）で、v3 固有の問題であり、それ以前のメジャーバージョンは影響を受けない。修正版は 3.6.4 で、既知の回避策は無いとアドバイザリに明記されている。CVSS は評価元で割れており、NVD（Primary）は CVSS 3.1 で 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の GitHub（Secondary）は CVSS 4.0 で 9.2 Critical（AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H）としている。差は攻撃の複雑度を低いと見るか高いと見るかである。CISA KEV には 2026-03-20 に収載され、是正期限は 2026-04-03。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は composer show livewire/livewire、または composer.lock 内の livewire/livewire の版を見る。3.6.4 未満なら該当、3.6.4 以降なら非該当で、v2 以前を使っているアプリは対象外である。見落としやすいのは、自分では Livewire を入れていないつもりのアプリで、管理パネル系やフォーム系のパッケージの依存として composer.lock に入っていることがあるため、直接依存だけでなくロックファイル全体を検索する必要がある。台数が多い環境では、composer.lock を集めて livewire/livewire の版を機械的に抜き出すのが早い。コンテナ運用では vendor をイメージに焼き込んでいることが多く、リポジトリを直してもイメージを再ビルドしなければ古い版が残る点にも注意する。アドバイザリが既知の回避策は無いと言っているため、緩和策は設定変更ではなく到達性を消す方向しかない。更新が間に合わない期間は、該当アプリを外部公開から外す、WAF や IP 制限で未認証リクエストを止める、といった形で経路を閉じる。KEV 是正期限 2026-04-03 は既に過ぎているので、未更新のアプリが残っていれば期限超過として扱う。完了条件は、すべての環境で livewire/livewire が 3.6.4 以上になっていることの確認に加え、悪用が確認されている脆弱性であるため、web ルート配下に置かれた不審なファイル、storage やキューへの見慣れない書き込み、外部への通信の痕跡を点検し、アプリの各種資格情報を再発行することである。

Laravel Livewire を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-54068）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/04/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。