Laravel Livewire v3 원격 코드 실행(RCE) 취약점 긴급 보안 권고 (CVE-2025-54068)

본 취약점에 대한 공식적인 임시 완화 조치(Workaround)는 존재하지 않으므로, 반드시 패키지 업데이트를 적용해야 합니다.

1. Composer를 통한 패키지 업데이트

프로젝트 루트 디렉토리에서 아래 명령어를 실행하여 Livewire를 안전한 버전(v3.6.4 이상)으로 업그레이드하십시오.

composer update livewire/livewire

업데이트 후 composer.json 및 composer.lock 파일에서 버전이 3.6.4 이상으로 지정되었는지 확인합니다.

"require": {
    "livewire/livewire": "^3.6.4"
}

2. WAF(웹 애플리케이션 방화벽) 규칙 적용

패치 적용 전까지 임시 방편으로, Livewire의 통신 엔드포인트(/livewire/update)로 유입되는 비정상적인 직렬화 페이로드 및 시스템 명령어 주입 패턴을 탐지하고 차단하는 WAF 규칙을 구성하십시오.

Laravel 프레임워크용 풀스택 라이브러리인 Livewire v3 버전에서 심각한 원격 코드 실행(RCE) 취약점이 발견되었습니다. 이 취약점은 공격자가 인증을 거치지 않고도 특정 컴포넌트의 속성 업데이트가 하이드레이션(Hydration)되는 방식을 악용하여 발생합니다.

취약점 원인 및 메커니즘 (CWE-94)

Livewire는 클라이언트와 서버 간의 상태 동기화를 위해 컴포넌트 데이터를 직렬화 및 역직렬화(Hydration)하는 과정을 거칩니다. 이 과정에서 특정 컴포넌트가 마운트되고 특정 방식으로 구성되어 있을 때, 입력값 검증 미흡으로 인해 공격자가 조작된 페이로드를 전송하여 서버 측에서 임의의 코드를 주입하고 실행(Code Injection)할 수 있게 됩니다.

위협 심각도 및 실제 악용 사례

본 취약점은 CVSS 9.8의 치명적(Critical) 등급으로 평가되었으며, 사용자 상호작용이나 사전 인증 없이도 원격에서 즉각적인 공격이 가능합니다. 특히 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되어 실제 야생(In-the-wild)에서 공격자들에 의해 적극적으로 악용되고 있음이 확인되었습니다.