PHPを直しても、画面の部品は別。Livewire 3の重大な問題

どんな機能？ 名前を知らなくても、使っているかも。

Livewire（ライブワイヤー）は、Laravel（ララベル）というアプリ開発の土台と一緒に使う部品です。入力フォーム、ボタン、確認画面などの操作と、サーバー側の処理をつなぎます。利用者が名前を知らなくても、管理画面や業務フォームの内部で使われることがあります。

たとえば、申請フォームで入力した内容を確認画面へ送るような場面です。これは一般的な機能の例であり、そのフォームを使う全システムが影響を受けるという意味ではありません。

何が起きるおそれがある？

対象はCVE-2025-54068（シー・ブイ・イー、脆弱性を識別する番号）。特定の構成で画面の部品が動いている場合、操作データの処理を悪用され、不正な命令を実行されるおそれがあります。情報を読まれたり、アプリを書き換えられたりする被害につながる可能性があります。

攻撃にログインや利用者の操作は不要ですが、部品が特定の方法で設定・配置されていることが条件です。すべてのLivewire利用アプリで攻撃が成功すると断定せず、担当者がバージョンと使い方を確認します。公式の評価はCritical（クリティカル、重大）です。

対象と、修正を分けて確認する。

影響するバージョン・条件

今回の重大な問題の対象は、3.0.0-beta.1以上・3.6.4未満の3系です。3.6.3も含まれます。GitHubの公式アドバイザリでは、以前のメジャー版はこの問題の対象ではないと説明されています。

修正版・更新先

この問題に対する最低修正版は3.6.4です。ただし、最低修正版という意味であり、今から選ぶ更新先が常に3.6.4でよいという意味ではありません。利用中の3系を維持する場合も、その後の修正・サポート・周辺部品との互換性を確認して更新先を選びます。

あわせて知っておきたいこと

別の問題として、2026年8月10日には画面上で不正なJavaScript（ジャバスクリプト）を動かされるXSS（クロスサイト・スクリプティング）が公表されています。3系は3.8.3、4系は4.3.4で修正。これはModerate（モデレート、中程度）で、今回の重大な命令実行と同じ問題・深刻度ではありません。3系なら3.8.3以降を検証候補にしつつ、現在の修正情報も照合します。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   部品を使っているか、実際の版を確認

   開発会社へ、Livewireの有無、稼働中のバージョン、対象画面、既存パッチの有無を聞きます。「PHP更新済み」の報告だけで、この部品も更新済みとは扱いません。

2. 02

   更新範囲と、戻す準備を決める

   対象部品と、同時に変わる関連部品を確認。コードとデータのバックアップ、停止の要否、費用、障害時の戻し方を先に相談します。

3. 03

   本番とは別の環境で確かめる

   テスト環境でログイン、フォーム入力・送信、エラー表示、確認ダイアログ、管理画面を検証。Filament（フィラメント）などの管理画面用部品を併用している場合は、その互換性も確認します。

4. 04

   公開後の確認と、未完了の記録

   実際の環境へ修正を反映したことと、主要操作の正常動作を別に確認。担当者・適用日・確認した画面・残る課題を記録します。

保守会社に、このまま聞けます。

Livewire 3のCVE-2025-54068について、当社での利用有無と対象条件を確認してください。更新先、関連部品への変更範囲、テスト環境での検証項目、停止時間・工数・戻し方を教えてください。その後の修正も含めて、選んだ版の根拠をお願いします。

停止時間・費用・戻し方まで含む確認文をコピーする →