CVE-2025-54068: Esecuzione remota codice in Livewire v3

CVE-2025-54068 descrive una vulnerabilità di esecuzione remota di codice (RCE) in Livewire v3, un framework full-stack per Laravel. La falla colpisce versioni dalla v3.0 fino alla v3.6.3. Lo sfruttamento non richiede autenticazione né interazione dell'utente, rendendo il rischio critico per applicazioni Laravel che utilizzano questo framework. La vulnerabilità risiede nel modo in cui vengono idratate certe proprietà dei componenti durante l'elaborazione delle richieste, e richiede un componente montato e configurato in modo particolare per essere sfruttato.

Il CVSS riportato è 9,8, classificato come critico dall'NVD. La patch è stata rilasciata il 17 luglio 2025 nella versione 3.6.4. Secondo segnali di sicurezza pubblicati oggi, esiste evidenza di sfruttamento attivo in ambienti reali e exploit pubblicamente disponibili. Non sono state individuate soluzioni alternative (workaround). Questa combinazione di criticità, assenza di mitigazioni alternative e confermata diffusione di exploit rende l'aggiornamento immediato una priorità assoluta.

Le azioni consigliate ai team IT e amministratori: 1) Verificare immediatamente quali applicazioni Laravel usano Livewire; 2) Controllare la versione in uso; 3) Aggiornare tutte le istanze a Livewire v3.6.4 o successiva non appena possibile; 4) Esaminare i log di accesso per segni di sfruttamento (richieste anomale ai componenti Livewire); 5) Testare l'aggiornamento in ambiente staging prima del passaggio in produzione.