LiteSpeed Enterprise 6.3.7 corregge una falla critica nel root di hosting condiviso

Una vulnerabilità critica di LiteSpeed Enterprise può consentire a un utente di un sito web con privilegi bassi su un server di hosting condiviso di ottenere l'accesso root, il livello di controllo più alto su una macchina Linux, secondo un avviso di cPanel pubblicato il 14 settembre. L'hosting condiviso significa che i siti web di molti clienti vengono eseguiti su un unico server fisico e dovrebbero essere isolati l'uno dall'altro. La falla rompe questo isolamento: un attaccante con un solo account di hosting potrebbe usarla per accedere o modificare altri siti e il server stesso, avverte l'avviso.

cPanel ha dichiarato di aver ricevuto notifica della falla, che riguarda le versioni di LiteSpeed Web Server Enterprise precedenti alla 6.3.7, e ha esortato gli amministratori ad aggiornare a quella versione. LiteSpeed ha pubblicato la versione 6.3.7 l'11 settembre. La vulnerabilità può aggirare i controlli che tengono separati gli account di hosting, incluso CageFS, ha affermato cPanel. CageFS è uno strumento di CloudLinux che fornisce a ciascun account di hosting una vista limitata del file system, in modo che non possa vedere altri account o i file di configurazione del server. Se CageFS viene aggirato, un utente in un account potrebbe vedere molto di più della macchina condivisa di quanto previsto.

Né l'avviso di cPanel né le note di rilascio di LiteSpeed descrivono come funziona la falla. L'annuncio di LiteSpeed della 6.3.7 la definiva una versione con "miglioramenti di sicurezza, correzioni di bug e altro ancora!" Il suo changelog elenca tre modifiche di sicurezza ma non menziona una falla di escalation dei privilegi, e nessuna delle due aziende ha detto pubblicamente quale modifica la risolva. L'avviso non riporta alcun identificatore CVE o punteggio di gravità. Un controllo dei record CVE pubblicati il 15 settembre non ne ha trovato nessuno per questa falla, e l'avviso non dice se la falla sia già stata sfruttata.

Sia cPanel che LiteSpeed forniscono lo stesso comando per installare subito la 6.3.7: /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7. L'aggiornamento manuale è importante perché la versione 6.3.7 potrebbe non arrivare da sola. LiteSpeed ha affermato che potrebbe esserci "un certo ritardo" prima che la versione raggiunga l'aggiornamento automatico, il meccanismo che installa automaticamente le nuove versioni. Al 15 settembre, la pagina di download di LiteSpeed elencava ancora la 6.3.6 come versione stabile, insieme a una build pre-rilascio di luglio della 6.4.0 (RC1) il cui changelog non elenca le tre modifiche di sicurezza. L'avviso di cPanel non dice se le release candidate della 6.4.0 siano interessate. La documentazione di aggiornamento di LiteSpeed nota che forzare una versione specifica con questo comando impedisce al server di seguire il suo canale di aggiornamento stabile, e gli amministratori possono riprendere gli aggiornamenti automatici stabili in seguito eseguendo touch /usr/local/lsws/autoupdate/follow_stable.

Né l'avviso di cPanel né le note di rilascio di LiteSpeed offrono una soluzione alternativa per i server che non possono aggiornare immediatamente, o indicatori per verificare se un server è già stato attaccato. L'avviso nomina solo l'edizione Enterprise e non affronta OpenLiteSpeed, il server open source di LiteSpeed, per il quale LiteSpeed non aveva rilasciato alcun aggiornamento corrispondente al 15 settembre. Questa è la terza volta da maggio che una falla nel software LiteSpeed sui server cPanel viene segnalata come in grado di concedere l'accesso root a un account di hosting, ma è la prima nel web server stesso, anziché in un componente aggiuntivo. A maggio e giugno, LiteSpeed ha divulgato due di queste falle nel suo plugin cPanel lato utente, CVE-2026-48172 e CVE-2026-54420. L'azienda ha dichiarato che entrambe erano attivamente sfruttate e ha corretto entrambe nel plugin. In seguito CISA ha aggiunto entrambe al suo catalogo delle vulnerabilità note sfruttate. The Hacker News ha riportato quelle falle precedenti a maggio e giugno, e ora ha contattato LiteSpeed, cPanel e CloudLinux con domande su questa nuova.

Per i proprietari di siti web e i fornitori di hosting, il rischio non è solo il dirottamento di un account. Una compromissione a livello root su un server condiviso può esporre ogni sito web su quella macchina, inclusi i dati dei clienti, i file di configurazione e le stesse impostazioni di sicurezza del server. Mantenere aggiornato il software del server è la difesa principale, ma il rilascio qui è irregolare: la versione corretta esiste, eppure la pagina di download stabile punta ancora a una versione precedente, e l'aggiornamento automatico potrebbe ritardare. Questa lacuna lascia i clienti di hosting condiviso dipendenti dalla rapidità del loro fornitore nell'applicare l'aggiornamento manuale. Servizi di hosting gestito come AEU Hosting, che fornisce hosting WordPress gestito con sicurezza end-to-end, possono sollevare i proprietari dei siti da questa responsabilità occupandosi degli aggiornamenti lato server e delle patch di sicurezza per loro conto.