LiteSpeed Enterprise 6.3.7 behebt Root-Schwachstelle im Shared Hosting

Eine kritische LiteSpeed-Enterprise-Schwachstelle kann einem Website-Benutzer mit geringen Rechten auf einem Shared-Hosting-Server Root-Zugriff verschaffen, die höchste Kontrollebene auf einer Linux-Maschine, laut einer am 14. September veröffentlichten cPanel-Warnung. Shared Hosting bedeutet, dass die Websites vieler Kunden auf einem einzigen physischen Server laufen und voneinander isoliert sein sollen. Die Schwachstelle durchbricht diese Isolation: Ein Angreifer mit nur einem Hosting-Konto könnte damit auf andere Websites und den Server selbst zugreifen oder diese verändern, warnt die Warnung.

cPanel gab an, von der Schwachstelle benachrichtigt worden zu sein, die LiteSpeed Web Server Enterprise-Versionen vor 6.3.7 betrifft, und forderte Administratoren auf, auf diese Version zu aktualisieren. LiteSpeed veröffentlichte Version 6.3.7 am 11. September. Die Schwachstelle kann die Kontrollen umgehen, die Hosting-Konten voneinander trennen, einschließlich CageFS, so cPanel. CageFS ist ein CloudLinux-Tool, das jedem Hosting-Konto eine eingeschränkte Sicht auf das Dateisystem gibt, sodass es andere Konten oder die Konfigurationsdateien des Servers nicht sehen kann. Wenn CageFS umgangen wird, kann ein Benutzer in einem Konto weit mehr von der gemeinsamen Maschine sehen als beabsichtigt.

Weder die cPanel-Warnung noch die Versionshinweise von LiteSpeed beschreiben, wie die Schwachstelle funktioniert. LiteSpeeds Ankündigung von 6.3.7 nannte es eine Version mit „Sicherheitsverbesserungen, Fehlerbehebungen und mehr!“ Das Changelog listet drei Sicherheitsänderungen auf, erwähnt jedoch keine Privilegieneskalations-Schwachstelle, und keines der Unternehmen hat öffentlich gesagt, welche Änderung sie behebt. Die Warnung enthält keine CVE-Kennung oder Schweregradbewertung. Eine Überprüfung der veröffentlichten CVE-Einträge am 15. September ergab keine für diese Schwachstelle, und die Warnung sagt nicht, ob die Schwachstelle bereits ausgenutzt wurde.

Sowohl cPanel als auch LiteSpeed geben denselben Befehl an, um 6.3.7 jetzt zu installieren: /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7. Das manuelle Update ist wichtig, da Version 6.3.7 möglicherweise nicht von selbst ankommt. LiteSpeed sagte, es „könne zu einer Verzögerung kommen“, bevor die Version das Auto-Update erreicht, den Mechanismus, der neue Versionen automatisch installiert. Am 15. September listete LiteSpeeds Download-Seite noch 6.3.6 als stabile Version, zusammen mit einem Juli-Vorab-Build von 6.4.0 (RC1), dessen Changelog die drei Sicherheitsänderungen nicht auflistet. Die cPanel-Warnung sagt nicht, ob die 6.4.0-Release-Kandidaten betroffen sind. LiteSpeeds Update-Dokumentation weist darauf hin, dass das Erzwingen einer bestimmten Version mit diesem Befehl den Server daran hindert, seinem stabilen Update-Zweig zu folgen, und Administratoren können danach automatische stabile Updates wieder aufnehmen, indem sie touch /usr/local/lsws/autoupdate/follow_stable ausführen.

Weder die cPanel-Warnung noch die Versionshinweise von LiteSpeed bieten einen Workaround für Server, die nicht sofort aktualisiert werden können, oder Indikatoren zur Überprüfung, ob ein Server bereits angegriffen wurde. Die Warnung nennt nur die Enterprise-Edition und geht nicht auf OpenLiteSpeed ein, LiteSpeeds Open-Source-Server, für den LiteSpeed bis zum 15. September kein passendes Update veröffentlicht hatte. Dies ist das dritte Mal seit Mai, dass eine Schwachstelle in LiteSpeed-Software auf cPanel-Servern gemeldet wurde, die einem Hosting-Konto Root-Zugriff gewährt, aber es ist das erste Mal im Webserver selbst und nicht in einem Add-on. Im Mai und Juni hat LiteSpeed zwei solcher Schwachstellen in seinem benutzerseitigen cPanel-Plugin offengelegt, CVE-2026-48172 und CVE-2026-54420. Das Unternehmen sagte, beide würden aktiv ausgenutzt und beide wurden im Plugin behoben. CISA fügte später beide seinem Katalog bekannter ausgenutzter Schwachstellen hinzu. The Hacker News berichtete im Mai und Juni über diese früheren Schwachstellen und hat nun LiteSpeed, cPanel und CloudLinux mit Fragen zu dieser neuen kontaktiert.

Für Website-Besitzer und Hosting-Anbieter besteht das Risiko nicht nur darin, dass ein Konto gekapert wird. Eine Kompromittierung auf Root-Ebene auf einem Shared Server kann jede Website auf dieser Maschine gefährden, einschließlich Kundendaten, Konfigurationsdateien und der Sicherheitseinstellungen des Servers selbst. Die Aktualisierung der Server-Software ist die primäre Verteidigung, aber der Rollout hier ist ungleichmäßig: Die behobene Version existiert, doch die stabile Download-Seite verweist noch auf eine ältere Version, und das Auto-Update kann verzögert sein. Diese Lücke lässt Shared-Hosting-Kunden von der Geschwindigkeit ihres Anbieters bei der Anwendung des manuellen Updates abhängig. Managed-Hosting-Dienste wie AEU Hosting, das Managed WordPress Hosting mit End-to-End-Sicherheit bietet, können diese Verantwortung von Website-Besitzern nehmen, indem sie serverseitige Updates und Sicherheits-Patching für sie übernehmen.