Критическая уязвимость в библиотеке Livewire ставит под угрозу тысячи приложений на Laravel

В Банке данных угроз безопасности информации (BDU) появилась запись о новой критической уязвимости, затрагивающей популярную библиотеку Livewire, используемую в экосистеме PHP-фреймворка Laravel. Эта проблема способна привести к полному захвату сервера, и её важность трудно переоценить: Livewire применяется в огромном количестве веб-проектов по всему миру, особенно среди разработчиков, которые ценят реактивность интерфейса без перехода на сложные фронтенд-фреймворки.

Детали уязвимости

Согласно официальному бюллетеню, уязвимость получила идентификатор CVE-2025-54068. Она затрагивает все версии Livewire, начиная с бета-сборки 3.0.0-beta.1 и заканчивая выпуском 3.6.4 включительно. Производителем подтверждено наличие проблемы, а также выпущено исправление, встроенное в версию 3.6.5 и выше. Важно отметить, что в реестр CISA эта запись уже включена, что говорит о возможной активной эксплуатации или, как минимум, о высоком интересе со стороны злоумышленников.

Корень уязвимости кроется в неверном управлении генерацией кода. Более точно, это ошибка класса CWE-94, то есть внедрение кода. На практике это означает, что нарушитель, действующий удалённо, может отправить на сервер специально сформированный запрос, который заставит Livewire выполнить произвольные команды. Поскольку библиотека работает на стороне сервера, скомпрометированным оказывается всё приложение Laravel. Злоумышленник получает возможность считывать и изменять файлы, подключаться к базам данных, запускать скрипты и даже устанавливать вредоносное программное обеспечение.

Оценка по стандарту CVSS подтверждает серьёзность. В версии 3.1 базовый балл составляет 9,8 из 10 - это критический уровень. Вектор атаки сетевой, для её выполнения не требуется никаких прав доступа или взаимодействия с пользователем. Иными словами, любой подключённый к интернету экземпляр Livewire, работающий на уязвимой версии, может быть атакован напрямую.

Последствия успешной эксплуатации могут быть катастрофическими. Во-первых, нарушитель способен полностью парализовать работу сайта, зашифровать данные и потребовать выкуп - это классическая модель программ-вымогателей. Во-вторых, он может незаметно перехватывать учётные данные посетителей, что грозит масштабной утечкой персональной информации. Особенно опасна такая атака для государственных порталов, интернет-магазинов и финансовых сервисов, где хранятся платёжные данные.

Следует подчеркнуть, что Livewire часто используется как альтернатива сложным одностраничным приложениям, поэтому множество небольших и средних компаний выбрали эту связку Laravel + Livewire для своих проектов. Однако любой владелец сайта на этой технологии должен отнестись к уведомлению со всей серьёзностью. Если обновление не будет установлено в кратчайшие сроки, сервер рискует стать частью ботнета или жертвой целенаправленной атаки.

Разработчики Livewire из сообщества свободного программного обеспечения отреагировали оперативно. Патч включён в релиз 3.6.5, а также доступен в виде коммита в официальном репозитории на GitHub. Вместе с тем на странице безопасности проекта опубликовано детальное описание уязвимости с рекомендациями по обновлению. Эксперты рекомендуют в первую очередь проверить версию библиотеки в корневом файле composer.json и выполнить команду обновления.

Для тех, кто не может немедленно остановить работу приложения, существуют временные меры. Например, можно настроить веб-сервер или межсетевой экран так, чтобы блокировать подозрительные запросы, содержащие определённые символы или последовательности. Однако такой подход лишь снижает вероятность атаки, но не устраняет её полностью. Наиболее надёжный способ - установить актуальный патч.

Данный инцидент напоминает о том, что даже в зрелых экосистемах могут возникать скрытые угрозы, связанные с управлением кодом. Для специалистов по информационной безопасности это сигнал к тщательной проверке всех компонентов, используемых в проектах, особенно тех, которые работают с пользовательским вводом. Ведь именно такие точки часто становятся входными воротами для атаки.

Детали уязвимости

Ссылки