Błąd w Livewire v3 do wersji 3.6.3 pozwala obcej osobie bez konta wykonać polecenia na serwerze aplikacji Laravel. Obejść nie ma, CISA potwierdza ataki. Zaktualizuj do 3.6.4 lub nowszej dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które mają aplikacje webowe, sklepy lub panele klienta zbudowane w Laravelu. Werdykt: jeśli aplikacja używa Livewire w wersji 3 starszej niż 3.6.4, zaktualizuj ją dziś, bo luka pozwala obcej osobie bez logowania wykonać polecenia na serwerze, obejść nie ma, a CISA potwierdza ataki.
Amerykańska agencja CISA 20 marca 2026 roku dopisała CVE-2025-54068 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd dotyczy Livewire, popularnej biblioteki do budowy interaktywnych stron w Laravelu. Tkwi w sposobie, w jaki serwer odtwarza stan komponentu odesłany z przeglądarki (tzw. hydratacja). W określonych scenariuszach pozwala napastnikowi bez konta i bez udziału użytkownika wykonać polecenia na serwerze.
Poprawka jest dostępna od 17 lipca 2025 roku, czyli od ponad roku. Termin naprawy wyznaczony przez CISA minął 3 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-54068 (europejska baza ENISA: EUVD-2025-21792) |
Data dodania do CISA KEV | 2026-03-20 |
Termin naprawy wg CISA | 2026-04-03 |
Produkt | Laravel Livewire (pakiet |
Wersje zagrożone | Livewire v3 do 3.6.3 włącznie. Wg GitHub od 3.0.0-beta.1, wg dopasowania NVD od 3.0.0 (skaner oparty tylko na NVD może pominąć wersje beta). Wersje v2 i starsze nie są podatne. Warunek: komponent zamontowany i skonfigurowany w określony sposób; producent nie ujawnił szczegółów |
Wersje bezpieczne | 3.6.4 (17 lipca 2025) i nowsze. Najnowsze wydania na 17 września 2026: 3.8.9 w gałęzi v3 oraz 4.4.5 w gałęzi v4 |
Typ podatności | Wstrzyknięcie kodu prowadzące do zdalnego wykonania poleceń; CWE-94 |
Ocena CVSS | NVD: 9.8 KRYTYCZNA (CVSS 3.1, niska złożoność ataku). GitHub: 9.2 KRYTYCZNA (CVSS 4.0, wysoka złożoność ataku). Atak przez sieć, bez uprawnień i bez udziału użytkownika |
Wyobraź sobie restaurację, w której kelner nie zapamiętuje zamówień. Zamiast tego zostawia gościowi kartkę z zamówieniem, a przy każdym kolejnym daniu gość oddaje ją do kuchni. Kuchnia robi dokładnie to, co jest na kartce. System działa, dopóki wszyscy są uczciwi. Wystarczy jednak, że gość dopisze na kartce „otwórz sejf i przynieś utarg”, a kuchnia, zamiast sprawdzić, czy kartka jest tą samą, którą wydała, zaczyna to wykonywać.
Tak działa Livewire. Stan komponentu (co jest w koszyku, jaki filtr wybrano) wędruje z serwera do przeglądarki i wraca przy każdym kliknięciu. Przeglądarka jest jednak pod kontrolą użytkownika, także napastnika. W podatnych wersjach niektóre odesłane dane mogły zostać potraktowane jak kod do wykonania. Wystarczy, że aplikacja wystawia podatny komponent na publicznej stronie.
💡 Laravel to popularny szkielet (framework) do budowy aplikacji w języku PHP. Livewire to dodatek, który pozwala tworzyć interaktywne strony bez pisania dużo JavaScriptu. Hydratacja to odtworzenie stanu komponentu na serwerze z danych odesłanych przez przeglądarkę. Zdalne wykonanie poleceń (RCE) oznacza, że obca osoba uruchamia dowolne komendy na Twoim serwerze.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klient klika filtr w sklepie | Serwer odtwarza stan i odświeża listę produktów | Tak samo, klient nic nie zauważa |
Napastnik modyfikuje odsyłany stan komponentu | Serwer odrzuca nieprawidłowe dane | W określonych scenariuszach serwer wykonuje polecenia napastnika |
Wymagane konto | Dostęp do danych po zalogowaniu | Atak nie wymaga logowania |
Zapora aplikacyjna (WAF) | Filtruje znane ataki | Producent nie wskazuje obejść, źródła nie potwierdzają skuteczności filtrowania |
Skaner oparty na bazie NVD | Wykrywa podatne wersje | Może nie oznaczyć wersji beta 3.0.0 |
źródło: Pexels, Betül ÜstünPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Aplikacje z Livewire są z założenia dostępne z internetu, a atak nie wymaga konta. Według CISA nie da się go w pełni zautomatyzować, bo trzeba najpierw znaleźć komponent w podatnej konfiguracji. W raporcie ThreatHunter.ai z 14 marca 2026 roku, podlinkowanym w NVD, wśród narzędzi grupy przypisanej do Iranu wymieniono szablon skanera Nuclei dla CVE-2025-54068.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Skanowanie internetu w poszukiwaniu aplikacji Laravel z Livewire v3 | Lista potencjalnych celów |
2. Wybór komponentu | T+minuty do godzin | Analiza komponentów na publicznych stronach i sprawdzenie podatnej konfiguracji | Potwierdzony cel |
3. Wykonanie kodu | T+minuty | Odesłanie spreparowanego stanu komponentu | Polecenia wykonane na serwerze bez logowania |
4. Utrwalenie | T+godziny | Wgranie tylnej furtki (webshell), odczyt pliku | Stały dostęp i klucze do usług |
5. Kradzież | T+1 do 7 dni | Pobranie bazy klientów, zamówień, danych kont | Dane poza firmą |
6. Dalszy ruch | T+tygodnie | Użycie skradzionych kluczy do chmury, poczty i innych systemów | Szersze włamanie, szantaż |
Aplikacje w Laravelu często obsługują sprzedaż, rezerwacje, panele klientów i systemy wewnętrzne. Serwer takiej aplikacji zna hasło do bazy danych i klucze do zewnętrznych usług. Wykonanie poleceń na nim oznacza dostęp do tego wszystkiego, bez żadnego logowania.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie aplikacji na czas odbudowy serwera i przeglądu kodu | Dni | 20 tys. do 150 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Wyciek bazy klientów, danych kont i kluczy do usług zewnętrznych | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa, wymiana kluczy) |
Finansowy | Utracona sprzedaż, nadużycia na kontach usług chmurowych, koszty reakcji | Tygodnie | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Komunikat o wycieku do klientów, utrata zaufania do panelu lub sklepu | Tygodnie do miesięcy | 30 tys. do 300 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla publicznej aplikacji z Livewire v3
w wersji starszej niż 3.6.4
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (wykonanie poleceń bez logowania), a prawdopodobieństwo wysokie (potwierdzone ataki, EPSS 0,958), ale nie maksymalne, bo podatność zależy od konfiguracji komponentu, której producent nie ujawnił; ponieważ nie da się jej samodzielnie wykluczyć, jedyną pewną oceną jest numer wersji.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić w pliku | Dziś | Programista / firma utrzymująca aplikację |
2 | 🔴 NATYCHMIAST | Zaktualizować Livewire v3 do 3.6.4 lub nowszej (najlepiej najnowszej 3.8.x) i wdrożyć na produkcję | Dziś | Programista |
3 | 🟠 PILNIE | Sprawdzić serwery pod kątem nieznanych plików PHP (webshelli) i podejrzanych procesów | Do 3 dni | Administrator / zespół bezpieczeństwa |
4 | 🟠 PILNIE | Jeśli aplikacja była podatna i publiczna: wymienić hasła i klucze z pliku | Do 3 dni | Programista / DevOps |
5 | 🟠 PILNIE | Przejrzeć logi serwera WWW pod kątem nietypowych żądań do końcówek Livewire od lipca 2025 | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Włączyć automatyczne powiadomienia o podatnościach w zależnościach (np. | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Zaplanować przejście na aktualnie wspieraną gałąź Livewire i Laravela | Do 30 dni | CTO |
Producent wydał poprawkę w wersji 3.6.4 i wprost stwierdza, że obejść nie ma. Źródła nie potwierdzają, by blokada na serwerze WWW lub zaporze aplikacyjnej zastępowała poprawkę. Poniższe miary tylko ograniczają szkody do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe wyłączenie publicznego dostępu do aplikacji (np. tryb serwisowy lub dostęp tylko z VPN) | Wysoka: usuwa napastnika z zasięgu | Łatwa, ale zatrzymuje usługę |
Ograniczenie uprawnień użytkownika systemowego aplikacji i dostępu serwera do innych systemów | Niska do średniej: zmniejsza skutki, nie usuwa luki | Średnia |
Zapora aplikacyjna (WAF) z regułami dla Livewire | Niska: brak potwierdzonej skuteczności | Średnia |
Monitorowanie nowych plików PHP w katalogach publicznych | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Livewire | v3 do 3.6.3 | 3.6.4 lub nowsza |
Dostęp bez logowania | Możliwe wykonanie poleceń na serwerze | Luka zamknięta poprawką |
Klucze w | Potencjalnie znane napastnikowi | Wymienione, jeśli aplikacja była narażona |
Wiedza o włamaniu | Brak przeglądu serwera i logów | Serwer i logi sprawdzone |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad 5 miesięcy | Wersja z poprawką udokumentowana w |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ENISA odnotowuje wykorzystanie od 20 marca 2026 |
Grupy przestępcze | Raport ThreatHunter.ai (14 marca 2026) wymienia szablon skanera dla tej luki w narzędziach grupy przypisanej do Iranu; innych nazw grup brak |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA (NVD, CVSS 3.1); 9.2 KRYTYCZNA (GitHub, CVSS 4.0) |
PoC dostępny publicznie? | Producent nie ujawnił szczegółów technicznych; publicznego exploita nie potwierdzono. Szablon skanera Nuclei opisano w raporcie o narzędziach atakujących |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,95805 (percentyl 0,9987) według pomiaru z 23 sierpnia 2026, stabilnie przez 30 dni (wg analizy źródłowej) |
Automatyzacja ataku | Wg oceny CISA (SSVC): nie; skutek techniczny: całkowity |
Dwie oceny CVSS różnią się założeniem o trudności ataku: NVD uznaje ją za niską, GitHub za wysoką, bo zależy od konfiguracji komponentu. Mimo to sygnały o realnym zagrożeniu są jednoznaczne:
Sygnały zagrożenia dla CVE-2025-54068
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (GitHub) 9.2/10 ██████████████████░░ KRYTYCZNA
EPSS (próba w 30 dni) ~96% ███████████████████░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-07-17 Livewire wydaje wersję 3.6.4 z poprawką
2025-07-17 Publikacja CVE-2025-54068 i doradztwa GitHub
2026-03-14 ThreatHunter.ai publikuje raport o narzędziach grupy z Iranu
2026-03-20 CISA dodaje lukę do katalogu KEV
2026-03-21 CISA publikuje ocenę SSVC: wykorzystanie aktywne
2026-04-03 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Doradztwo producenta: GHSA-29cq-5w36-x7w3 . Poprawka w kodzie: commit ef04be7 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-54068 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, które aplikacje firmy działają na Laravelu z Livewire | CTO | DZISIAJ |
2 | Uzyskać od zespołu lub agencji wersję Livewire z | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastowe wdrożenie aktualizacji poza zwykłym cyklem | CTO | DZISIAJ |
4 | Zlecić przegląd serwerów i logów oraz wymianę kluczy, jeśli aplikacja była podatna | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić w umowie z agencją zapisy o aktualizacji zależności i czasie reakcji | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nienaprawionych znanych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Które nasze aplikacje używają Livewire i w jakiej wersji? | [wersja] | 🔴 |
2 | Czy aktualizacja do 3.6.4 lub nowszej jest już na produkcji? | TAK / NIE, [data] | 🔴 |
3 | Czy podatna wersja była dostępna publicznie z internetu? | TAK / NIE | 🔴 |
4 | Czy serwery sprawdzono pod kątem nieznanych plików PHP? | TAK / NIE, [data] | 🟠 |
5 | Czy wymieniono hasła i klucze z pliku | TAK / NIE, [data] | 🟠 |
6 | Czy proces wdrożeń sprawdza zależności pod kątem znanych luk? | TAK / NIE | 🟠 |
7 | Czy któraś aplikacja stoi na niewspieranej gałęzi Laravela lub Livewire? | TAK / NIE, [wersja] | 🟡 |
CVE-2025-54068 w Livewire v3 do wersji 3.6.3 pozwala w określonej konfiguracji wykonać polecenia na serwerze bez logowania, a producent nie zna obejść. CISA potwierdza ataki, poprawka jest dostępna od lipca 2025 roku, a termin CISA minął 3 kwietnia 2026 roku, więc aktualizacja to zadanie na dziś, a przegląd serwera i wymiana kluczy na najbliższe dni.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.