Критична уязвимост в LiteSpeed Web Server Enterprise може да позволи на потребител на уебсайт с ниски привилегии да получи root достъп до споделен хостинг сървър, предупреди cPanel в официален бюлетин, публикуван на 14 септември.
На такива сървъри сайтовете на много клиенти работят на една и съща машина и атакуващ с един от тези хостинг акаунти би могъл да се възползва от уязвимостта, за да достъпи или промени други сайтове, както и самия сървър, се казва в бюлетина.
От cPanel съобщиха, че са получили уведомление за уязвимостта, която засяга версии преди 6.3.7, и призоваха администраторите да обновят до тази версия, която LiteSpeed публикува на 11 септември.
Уязвимостта може да заобиколи механизмите за контрол, които изолират хостинг акаунтите един от друг, включително CageFS, посочват от cPanel. CageFS е инструмент на CloudLinux, който предоставя на всеки хостинг акаунт ограничен изглед към файловата система, така че той да не може да вижда останалите акаунти или конфигурационните файлове на сървъра.
Нито бюлетинът на cPanel, нито бележките към версията на LiteSpeed описват как точно функционира уязвимостта. В анонса на LiteSpeed за версия 6.3.7 промяната беше определена като издание с „Подобрения на сигурността, отстранени грешки и други!“. В дневника с промени (changelog) са посочени три промени, свързани със сигурността, но не се споменава уязвимост за ескалация на привилегии, като нито една от двете компании не е обявила публично коя точно промяна я коригира.
За уязвимостта няма издаден CVE идентификатор или оценка за сериозност, а проверка на публикуваните CVE записи към 15 септември не установи налични такива. В съобщението не се посочва и дали уязвимостта вече е била използвана при реални атаки.
Както cPanel, така и LiteSpeed предоставят една и съща команда за незабавно инсталиране на версия 6.3.7: /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7
Ръчното обновяване е от изключителна важност, тъй като версия 6.3.7 може да не се инсталира автоматично веднага: от LiteSpeed заявяват, че „може да има известно забавяне“, преди версията да достигне до канала за автоматично обновяване.
Към 15 септември страницата за изтегляне на LiteSpeed все още посочва 6.3.6 като стабилна версия, редом с тестово издание на 6.4.0 (RC1) от юли, чийто дневник с промени не съдържа трите корекции за сигурност. Бюлетинът на cPanel не уточнява дали кандидат-версиите на 6.4.0 са засегнати.
Документацията за обновяване на LiteSpeed отбелязва, че принудителното инсталиране на конкретна версия с тази команда спира сървъра от следване на стабилния канал за актуализации, както и че администраторите могат да възобновят автоматичните стабилни актуализации след това чрез изпълнение на touch /usr/local/lsws/autoupdate/follow_stable.
Нито бюлетинът за сигурност на cPanel, нито бележките към версията на LiteSpeed предлагат временно решение за сървъри, които не могат да бъдат обновени веднага, нито индикатори за проверка дали даден сървър вече е бил атакауван. В съобщението се споменава единствено Enterprise изданието и не се засяга OpenLiteSpeed — сървърът с отворен код на LiteSpeed, за който към 15 септември не е публикувана съответстваща корекция за сигурност.
Това е третият път от май насам, когато се съобщава за уязвимост в софтуера на LiteSpeed върху cPanel сървъри, позволяваща на хостинг акаунт да получи root достъп, но е първият случай, който засяга пряко самия уеб сървър.
През май и юни LiteSpeed разкри две подобни уязвимости в своя потребителски плъгин за cPanel (CVE-2026-48172 и CVE-2026-54420), заяви, че и двете се използват активно при атаки, и ги коригира в плъгина. Впоследствие CISA добави и двете уязвимости в своя каталог с известно експлоатирани уязвимости (KEV), както съобщи The Hacker News през май и юни.
От The Hacker News се свързаха с LiteSpeed, cPanel и CloudLinux с въпроси относно откритата уязвимост.