Was wäre, wenn ein einziger, unbefugter Netzwerk-Request ausreichen würde, um die vollständige Kontrolle über Ihre gesamte Web-Infrastruktur zu erlangen, Ihre Datenbanken offenzulegen und Ihre Cloud-Credentials in die Hände organisierter Krimineller zu legen? Für Tausende von Laravel-Entwicklern ist dies kein hypothetisches Szenario, sondern bittere Realität. Die Schwachstelle CVE-2025-54068 in Laravel Livewire v3 hat eine Dimension erreicht, die weit über einen einfachen Bug hinausgeht – sie ist der Kern einer massiven, globalen Exfiltrationskampagne. Wenn Sie Livewire-Versionen zwischen 3.0.0-beta.1 und 3.6.3 einsetzen, ist Ihr System höchstwahrscheinlich bereits im Visier von Angreifern. Die einzige Lösung ist ein sofortiges Update auf Version 3.6.4 oder höher.

Die Anatomie von CVE-2025-54068: Remote Code Execution in Laravel Livewire

Die Schwachstelle CVE-2025-54068 ist eine kritische Sicherheitslücke im beliebten Full-Stack-Framework Livewire v3, das eng mit dem Laravel-Ökosystem verzahnt ist. Mit einem CVSS 3.1 Score von 9.8 (CRITICAL) wird sie als eine der gefährlichsten Lücken der letzten Zeit eingestuft. Der Angriffsvektor ist denkbar einfach: Ein unauthentifizierter Angreifer kann über das Netzwerk eine Remote Command Execution (RCE) auslösen, ohne dass eine Benutzerinteraktion erforderlich ist.

Der technische Fehler: Hydration und Deserialisierung

Das Kernproblem liegt im sogenannten Hydration-Prozess von Livewire. Wenn eine Komponente vom Client an den Server zurückgegeben wird, muss Livewire den Zustand der Komponente wiederherstellen (Hydrierung). In den betroffenen Versionen (v3.0.0-beta.1 bis v3.6.3) erfolgt die Validierung der Component-Property-Updates nicht ausreichend. Angreifer können bösartig manipulierte, serialisierte PHP-Objekte in den Request einschleusen. Sobald diese Objekte deserialisiert werden, können sogenannte PHPGGC-Gadget-Chains (PHP Generic Gadget Chains) genutzt werden, um beliebigen Code auf dem Server auszuführen.

Voraussetzungen für den Exploit

Obwohl die Lücke als „unauthentifiziert“ eingestuft wird, ist sie nicht universell auf jede einzelne Livewire-Seite anwendbar. Es wird eine bestimmte Konfiguration oder ein spezifisches Mount-Verfahren der Komponente benötigt, damit der Payload erfolgreich verarbeitet wird. Dennoch ist die Hürde für Angreifer extrem niedrig, da automatisierte Scanner das Web suchen, um genau diese verwundbaren Komponenten-Konfigurationen zu identifizieren. Wie Laravel News treffend beschreibt, handelt es sich um eine „eher heimliche Schwachstelle, die katastrophale Auswirkungen haben kann“.

Die globale Angriffskampagne: Analyse von Imperva und Wiz

Während die Sicherheitslücke bereits im Juli 2025 durch den Patch v3.6.4 adressiert wurde, zeigen Berichte von Imperva und Wiz, dass die aktive Ausnutzung erst viel später ihren Höhepunkt erreichte. Imperva beobachtete erste systematische Exploitation-Versuche ab dem 24. Mai 2026. Die Analyse von Wiz Threat Research vom 16. Juli 2026 zeichnet ein erschreckendes Bild der Dimensionen dieser Kampagne.

Die Beute: Massive Exfiltration von Credentials

Die Angreifer haben eine hochgradig automatisierte Pipeline aufgebaut, um sensible Daten aus den kompromittierten Laravel-Applikationen abzusaugen. Insgesamt wurden Credentials aus 6.167 verschiedenen Anwendungen gestohlen. Die Angreifer zielten primär auf die .env-Datei ab, die in Laravel-Installationen alle kritischen Geheimnisse enthält. Die statistische Auswertung der 21.916 analysierten Dateien zeigt, dass fast 30 % direkt aus Produktionsumgebungen stammten.

Zielgruppen und betroffene Software

Die Kampagne war breit gefächert, konzentrierte sich jedoch stark auf Branchen mit hoher Monetarisierung. Besonders betroffen waren über 400 Online-Gambling- und Betting-Plattformen sowie Anbieter im E-Commerce, Healthcare, Finanzwesen und Bildungswesen. Sogar staatliche .gov-Domains wurden kompromittiert. Bekannte Laravel-basierte Open-Source-Applikationen wie Invoice Ninja, Akaunting, Attendize, Lychee und TastyIgniter tauchten im Datensatz der Angreifer auf, was die enorme Reichweite der Lücke unterstreicht.

Die technische Infrastruktur der Angreifer

Die Professionalität der Kampagne zeigt sich in der mehrstufigen Exfiltrationsstrategie. Die Angreifer nutzten nicht nur einen einzigen Kanal, sondern ein redundantes System, um die Diebstahl-Aktivitäten zu tarnen und sicherzustellen, dass die Daten den Zielserver erreichen.

Der Exfiltrations-Workflow und die Malware

Nach der erfolgreichen RCE wird ein Bash-Skript namens shoc.enz (Größe: 5.269 Byte, SHA256: 548c3672fd3201dab56f714fdd5812bb024980815b3a2b6299f0126bdf16fb3e) auf den Server geladen. Dieses Skript wird temporär unter /tmp/xxxxx gespeichert und führt folgende Schritte aus:

1. Vollständiger Scan des Dateisystems nach .env-Dateien.
2. Extraktion der Variablen DB_HOST, DB_DATABASE, DB_USERNAME, DB_PASSWORD sowie des APP_KEY.
3. Archivierung der gefundenen Daten.
4. Upload an die C2-Infrastruktur.
5. Selbstlöschung des Skripts zur Spurenverwischung.

C2-Kanäle und Attribution

Die Daten wurden über drei verschiedene Kanäle abgeführt:

• Primär: FTP-Server unter 47.129.100.149:21 (hier wurden über 1.851 Datenbank-Dumps und E-Mail-Listen mit insgesamt 26 Millionen Adressen gesichert).
• Sekundär: Die Telegram-API (api.telegram.org), vermutlich für Echtzeit-Benachrichtigungen über erfolgreiche Hacks.
• Tertiär: Der File-Sharing-Dienst upload.gofile.io.

Indizien deuten stark auf einen indonesischen Ursprung hin. In den Skripten wurden indonesische Kommentare gefunden, die Server liefen in der Zeitzone Asia/Jakarta, und die Kommunikation lief über den Telegram-Account @ashtarotz sowie die E-Mail-Adresse azrilsyahputra1337@gmail.com.

Warum Laravel-Anwendungen so attraktive Ziele für Angreifer sind

Laravel ist eines der beliebtesten PHP-Frameworks weltweit und bildet das Rückgrat unzähliger Webanwendungen, von kleinen Start-ups bis hin zu Enterprise-Plattformen. Livewire v3 erweitert Laravel um reaktive Komponenten, ohne dass Entwickler JavaScript-Frameworks wie Vue oder React benötigen. Diese Popularität macht die Plattform jedoch auch zu einem lohnenden Ziel für Cyberkriminelle.

Die zentrale Rolle der .env-Datei

In Laravel-Anwendungen konzentriert sich die gesamte sensible Konfiguration in einer einzigen Datei: der .env-Datei. Dort finden sich Datenbank-Zugangsdaten, API-Keys, Zahlungsdienstleister-Credentials, OAuth-Secrets, SMTP-Passwörter und der APP_KEY, der für die Verschlüsselung von Session-Daten und Datenbankfeldern verantwortlich ist. Für Angreifer bedeutet dies: Wer die .env-Datei liest, besitzt praktisch den Schlüssel zum Königreich. Die Livewire-Kampagne nutzte genau diese Schwachstelle systematisch aus, indem sie nach erfolgreicher RCE das gesamte Dateisystem nach .env-Dateien durchsuchte.

Hohe Verbreitung und langsamer Patch-Zyklus

Viele Laravel-Projekte werden von kleinen Teams oder Einzelentwicklern betrieben, die nicht über dedizierte Sicherheitsteams verfügen. Composer-Abhängigkeiten werden oft nur bei größeren Updates gepflegt, nicht aber kontinuierlich. Hinzu kommt, dass Livewire v3 als relativ neues Framework-Element in vielen Projekten noch nicht etablierte Patch-Prozesse durchlaufen hat. Kombiniert man diese Faktoren mit der Tatsache, dass der Exploit keine Authentifizierung erfordert, entsteht eine perfekte Angriffsfläche für automatisierte Scanner.

Supply-Chain-Effekte durch beliebte Pakete

Die Verwundbarkeit betrifft nicht nur selbst entwickelte Livewire-Komponenten, sondern auch populäre Admin-Panels und Pakete, die auf Livewire aufbauen. Filament, eines der bekanntesten Laravel-Admin-Panels, nutzt Livewire intensiv. Dass die Angreifer 2.232 Filament-Admin-Panel-Passwörter exfiltrieren konnten, zeigt, wie Framework-Schwachstellen in der Supply Chain kaskadieren. Wer ein ansonsten gut gepatchtes Laravel-Projekt betreibt, kann dennoch über ein veraltetes Abhängigkeitspaket angreifbar sein.

Einordnung in die Bedrohungslandschaft und CISA-Warnung

Die Schwere dieses Vorfalls wird dadurch unterstrichen, dass die CISA (Cybersecurity and Infrastructure Security Agency) die Lücke am 20. März 2026 in den Known Exploited Vulnerabilities (KEV) Catalog aufgenommen hat. Dies ist ein Signal an alle IT-Administratoren weltweit, dass die Lücke nicht nur theoretisch existiert, sondern aktiv für massiven Schaden genutzt wird.

Parallelen zu anderen RCE-Kampagnen

Die Art und Weise, wie hier Framework-Schwachstellen genutzt werden, um an Cloud-Credentials und Datenbank-Zugänge zu gelangen, erinnert an andere kritische Vorfälle. Beispielsweise gab es ähnliche Muster bei der RCE-Lücke in JetBrains TeamCity (CVE-2026-63077), wo CI/CD-Pipelines als Eintrittstor für Credential-Diebstahl dienten. Auch die aktiven Angriffe auf Gitea (CVE-2026-20896) zeigen, dass DevOps- und Full-Stack-Tools derzeit bevorzugte Ziele für automatisierte Botnetze sind.

Warum Patches oft zu spät kommen

Im Fall von CVE-2025-54068 ist auffällig, dass der Patch bereits im Juli 2025 verfügbar war, die massiven Angriffe aber erst im Mai 2026 begannen. Dies verdeutlicht das Problem des „Patch-Gaps“: Viele Unternehmen aktualisieren ihre Abhängigkeiten nicht kontinuierlich. Wenn Sie composer update nur sporadisch ausführen, bleiben Ihre Anwendungen über Monate hinweg verwundbar, selbst wenn die Entwickler des Frameworks bereits eine Lösung bereitgestellt haben. Dies ähnelt den Warnungen des BSI und CERT-Bund bezüglich Schwachstellen in n8n-Self-Hosting-Instanzen.

Der Patch-Gap: Warum Sicherheitsupdates allein nicht ausreichen

Ein besonders beunruhigender Aspekt der CVE-2025-54068-Kampagne ist der zeitliche Verzug zwischen Patch-Veröffentlichung und massiver Ausnutzung. Der Fix wurde bereits im Juli 2025 mit Livewire v3.6.4 bereitgestellt, doch die großangelegte Kampagne begann erst im Mai 2026 – fast ein Jahr später. Dieser sogenannte Patch-Gap ist kein technisches Problem der Entwickler, sondern ein organisatorisches der Anwender.

Warum Unternehmen Updates verschleppen

Zahlreiche Faktoren tragen zu verzögerten Updates bei: Angst vor Breaking Changes, fehlende Testumgebungen, knappe Ressourcen im Entwicklungsteam oder schlicht mangelndes Bewusstsein für die Gefahr. Besonders in Agenturen und bei Freelancern, die viele kleine Kundenprojekte betreuen, werden Abhängigkeiten oft nur stichprobenartig aktualisiert. Ein einzelner übersehener Kunde mit veraltetem Livewire reicht jedoch, um als Sprungbrett für größere Angriffe zu dienen.

Die Bedeutung kontinuierlicher Dependency-Checks

Um solche Lücken frühzeitig zu schließen, sollten Teams automatisierte Werkzeuge wie Dependabot, Snyk oder OWASP Dependency-Check einsetzen. Diese Tools überwachen die composer.lock-Datei und warnen, sobald bekannte Schwachstellen in Abhängigkeiten auftauchen. Idealerweise werden Alerts nicht nur an Entwickler, sondern auch an Sicherheitsverantwortliche und IT-Leitung geschickt, damit Patches Priorität erhalten.

Notwendigkeit von Virtual Patching und WAF-Regeln

Bis ein vollständiges Update eingespielt ist, können Web Application Firewalls (WAF) wie die Imperva Cloud WAF oder ModSecurity mit spezifischen Regeln Exploitation-Versuche blockieren. Imperva berichtete, dass ihre WAF die Angriffe auf CVE-2025-54068 bereits erfolgreich abgewehrt hat, bevor viele Opfer überhaupt von der Kampagne wussten. Virtual Patching ist keine Dauerlösung, aber ein wirksames Übergangsinstrument, um Angreifer Zeit zu nehmen.

Sofortmaßnahmen und präventive Härtung

Wenn Sie Livewire v3 einsetzen, dürfen Sie nicht davon ausgehen, dass Sie „zu klein“ sind, um ein Ziel zu sein. Die automatisierte Natur der shoc.enz-Malware bedeutet, dass jeder Server, der die Kriterien erfüllt, kompromittiert wird. Hier ist der notwendige Schlachtplan für IT-Entscheider und Entwickler.

Schritt 1: Das Update (Zwingend)

Es gibt keine funktionierenden Workarounds auf Code-Ebene, die die Lücke schließen, ohne die Funktionalität von Livewire zu beeinträchtigen. Die einzige Lösung ist das Update. Führen Sie sofort folgenden Befehl in Ihrem Projektverzeichnis aus:

composer update livewire/livewire

Stellen Sie sicher, dass Ihre composer.json so konfiguriert ist, dass Version 3.6.4 oder höher installiert wird. Prüfen Sie nach dem Update die installierte Version mit composer show livewire/livewire.

Schritt 2: Incident Response und Forensik

Da die Angreifer bereits seit Mai 2026 aktiv sind, sollten Sie prüfen, ob Ihr System bereits kompromittiert wurde. Suchen Sie in Ihren Logs nach:

• Verbindungen zu 47.129.100.149 auf Port 21.
• Ungewöhnlichen ausgehenden Requests an api.telegram.org oder upload.gofile.io von Ihren Webservern.
• Spuren von Dateien im /tmp-Verzeichnis, die dem Muster shoc.enz entsprechen.

Sollten Sie Anzeichen einer Kompromittierung finden, müssen Sie zwingend alle in der .env hinterlegten Geheimnisse rotieren. Dazu gehören:

• APP_KEY: Ein neuer Key ist essenziell, da der alte Key zum Entschlüsseln von Session-Cookies und verschlüsselten Datenbankfeldern genutzt werden kann.
• Datenbank-Passwörter: Alle DB-User müssen neue Passwörter erhalten.
• API-Keys: Stripe-Keys, AWS-IAM-Credentials und Google-OAuth-Secrets müssen sofort widerrufen und neu generiert werden.

Schritt 3: Langfristige Härtung der Infrastruktur

Um ähnliche Supply-Chain- oder Framework-Angriffe in Zukunft abzufedern, sollten Sie folgende Sicherheitsmaßnahmen implementieren:

• Egress-Filtering: Blockieren Sie jeglichen ausgehenden FTP-Verkehr (Port 21) von Ihren Webservern. Ein Webserver muss in der Regel keine FTP-Verbindungen zu fremden IPs aufbauen.
• Dateisystem-Berechtigungen: Schützen Sie Ihre .env-Datei extrem strikt. Sie sollte niemals über das Webdokument-Root erreichbar sein und nur für den Systembenutzer lesbar sein, der den PHP-Prozess ausführt.
• Monitoring: Implementieren Sie ein File-Integrity-Monitoring (FIM), das Alarm schlägt, wenn unerwartete Skripte in /tmp oder anderen temporären Verzeichnissen erstellt werden.
• Credential Management: Nutzen Sie statt statischer .env-Dateien in Produktionsumgebungen Lösungen wie AWS Secrets Manager, HashiCorp Vault oder Azure Key Vault, um die Exfiltration von Klartext-Passwörtern zu erschweren.

Diese Maßnahmen schützen Sie nicht nur vor CVE-2025-54068, sondern auch vor anderen Credential-Diebstahl-Kampagnen, wie sie beispielsweise bei gefälschten NPM- oder PyPI-SDKs beobachtet wurden.

Zusammenfassend lässt sich sagen: Die Kombination aus einer kritischen RCE-Lücke in einem weit verbreiteten Framework und einer hochgradig effizienten Exfiltrations-Infrastruktur macht CVE-2025-54068 zu einem Albtraum für Laravel-Administratoren. Wer nicht patcht, riskiert nicht nur seine Daten, sondern die gesamte Integrität seiner Cloud-Infrastruktur. Für weitere Details zur Schwachstelle besuchen Sie die NVD-Datenbank oder die CISA-Warnung.