Kritische Lücke in LiteSpeed Enterprise könnte aus einem Hosting-Konto Root-Zugriff machen

Eine kritische Schwachstelle in LiteSpeed Web Server Enterprise könnte es einem Website-Benutzer mit niedrigen Berechtigungen ermöglichen, die Kontoisolierung zu umgehen und potenziell die Kontrolle auf Root-Ebene über einen Shared-Hosting-Server zu erlangen.

cPanel warnte seine Kunden am 14. September 2026, dass die Schwachstelle LiteSpeed-Enterprise-Versionen vor 6.3.7 betrifft. LiteSpeed veröffentlichte die korrigierte Version am 11. September 2026. Administratoren müssen sie jedoch möglicherweise manuell installieren, da sich die Verteilung über automatische Update-Kanäle verzögern kann.

Die Schwachstelle ist in Shared-Hosting-Umgebungen besonders gefährlich. Die Kompromittierung eines einzelnen Kundenkontos könnte andere Websites, Serverkonfigurationsdateien und letztlich den zugrunde liegenden Host offenlegen.

Fehler bei der Mandantenisolierung mit Folgen für den gesamten Server

Auf Shared-Hosting-Servern laufen Websites mehrerer Kunden auf derselben Maschine. Ihre Sicherheit hängt von Kontrollen ab, die verhindern, dass ein Konto auf Dateien eines anderen Kontos oder auf privilegierte Ressourcen des Betriebssystems zugreift.

Die LiteSpeed-Schwachstelle kann diese Grenzen umgehen, einschließlich der durch CloudLinux CageFS bereitgestellten Isolierung. CageFS gewährt jedem Hosting-Konto normalerweise eine eingeschränkte Sicht auf das Dateisystem und verbirgt sensible Konfigurationsdaten sowie Inhalte anderer Kunden.

Ein Angreifer, der bereits ein Website-Konto mit niedrigen Berechtigungen kontrolliert, könnte die Schwachstelle nutzen, um diese Grenze zu überschreiten. Mögliche Folgen sind:

• Lesen oder Ändern von Dateien anderer Hosting-Kunden;
• Zugriff auf Konfigurationsdateien, die für das Konto unsichtbar sein sollten;
• Manipulation anderer Websites auf demselben Server;
• Ausweitung der Berechtigungen von einem Mandantenkonto auf privilegierten Serverzugriff;
• Aushebeln der CageFS-Schutzmechanismen auf der betroffenen Maschine.

Der genaue Umfang der anfälligen Konfigurationen wurde nicht offengelegt. Die Warnung hebt zwar ausdrücklich Shared Hosting und die CageFS-Isolierung hervor, klärt jedoch nicht, ob für eine Ausnutzung CloudLinux erforderlich ist oder ob gleichermaßen andere Bereitstellungsmodelle betroffen sind.

Auch die technische Ursache der Schwachstelle ist unbekannt. Weder cPanel noch LiteSpeed haben den anfälligen Codepfad, die erforderlichen Voraussetzungen oder die Abfolge beschrieben, über die ein Angreifer Root-Berechtigungen erlangen könnte.

Derzeit gibt es weder eine veröffentlichte CVE-Kennung noch einen CVSS-Score für die Schwachstelle. Eine Prüfung der CVE-Einträge am 15. September 2026 ergab keinen passenden Eintrag. Außerdem hat cPanel nicht mitgeteilt, dass Angreifer die Schwachstelle bereits aktiv ausnutzen.

Enterprise-Versionen vor 6.3.7 müssen aktualisiert werden

Alle LiteSpeed-Web-Server-Enterprise-Versionen vor 6.3.7 sind betroffen. Version 6.3.7 ist das empfohlene Sicherheitsupdate.

Die Versionslage kann Administratoren dennoch verwirren. Auf der öffentlichen Download-Seite von LiteSpeed wurde am 15. September 2026 weiterhin Version 6.3.6 als stabile Version geführt, obwohl die Installation von 6.3.7 empfohlen wird. Betreiber sollten daher die tatsächlich auf jedem Server ausgeführte Version prüfen, statt sich auf die Kennzeichnung des Stable-Kanals zu verlassen.

LiteSpeed führte außerdem Version 6.4.0 RC1 auf. Diese Release-Kandidatenversion kann derzeit jedoch nicht als bestätigte Fehlerbehebung betrachtet werden. Ihr Changelog enthält nicht die drei sicherheitsbezogenen Änderungen, die mit 6.3.7 verbunden sind, und cPanel hat nicht klargestellt, ob eine Release-Kandidatenversion von 6.4.0 anfällig ist.

Auch der Status von OpenLiteSpeed ist ungeklärt. Die cPanel-Warnung bezieht sich nicht auf den Open-Source-Webserver, und LiteSpeed hatte bis zum 15. September 2026 kein entsprechendes OpenLiteSpeed-Update veröffentlicht. Daraus lässt sich weder ableiten, dass OpenLiteSpeed betroffen, noch dass es sicher ist.

Das Changelog von 6.3.7 führt drei sicherheitsbezogene Änderungen auf, bezeichnet jedoch keine davon ausdrücklich als Behebung des Root-Zugriffs. Die verfügbaren Versionsinformationen geben daher keinen Aufschluss darüber, welche Codeänderung die Umgehung der Isolierung schließt.

Administratoren sollten die Installation von 6.3.7 erzwingen

Betreiber von LiteSpeed Enterprise sollten Version 6.3.7 manuell installieren, statt auf die reguläre Verteilung zu warten. LiteSpeed und cPanel stellten beide den folgenden Befehl bereit:

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7

Der Befehl erzwingt die Installation der angegebenen Version. Außerdem verhindert er, dass der Server automatisch dem normalen Stable-Update-Zweig folgt.

Nach Abschluss und Überprüfung des Upgrades können Administratoren die Verfolgung des Stable-Kanals mit folgendem Befehl wieder aktivieren:

touch /usr/local/lsws/autoupdate/follow_stable

Betreiber sollten bestätigen, dass der laufende Server Version 6.3.7 meldet. Außerdem sollten sie ihre Shared-Hosting-Systeme inventarisieren, um ältere Enterprise-Installationen zu ermitteln. Dazu gehören auch Systeme, die das Update möglicherweise noch nicht über automatische Aktualisierungen erhalten haben.

Für Server, die nicht sofort aktualisiert werden können, wurde keine vorübergehende Gegenmaßnahme veröffentlicht. Ist ein Update aus betrieblichen Gründen nicht möglich, steht Administratoren derzeit keine vom Anbieter dokumentierte Konfigurationsänderung zur Verfügung, die die Schwachstelle zuverlässig blockiert.

Keine speziellen Indicators of Compromise

Weder cPanel noch LiteSpeed haben Indicators of Compromise bereitgestellt, anhand derer sich feststellen lässt, ob die Enterprise-Schwachstelle ausgenutzt wurde. Es gibt keine veröffentlichten Dateinamen, Befehle, Netzwerk-Muster, Log-Signaturen oder anderen Artefakte, die mit dieser Schwachstelle verknüpft sind.

Administratoren sollten Webserver-, Authentifizierungs-, Hosting-Control-Panel-, Berechtigungs- und Dateisystem-Logs auf verdächtige Aktivitäten prüfen. Relevante Verhaltensweisen sind unerwartete Zugriffe zwischen Kundenkonten, nicht erklärbare Änderungen an gehosteten Websites, Versuche, geschützte Konfigurationsdateien zu lesen, sowie privilegierte Aktionen, die von Website-Prozessen oder Mandantenidentitäten ausgehen.

Solche Funde sind Ermittlungsansätze, aber keine bestätigten Indicators of Compromise für diese Schwachstelle. Die fehlenden technischen Details erschweren die Abgrenzung zwischen einer Ausnutzung und anderen Formen einer Kompromittierung des Webservers.

Betreiber sollten außerdem keine Erkennungshinweise zu früheren LiteSpeed-Plugin-Schwachstellen auf das aktuelle Enterprise-Problem übertragen. Diese Schwachstellen betrafen separate Komponenten und nutzten andere Angriffswege.

Zwei frühere LiteSpeed-Plugin-Schwachstellen wurden aktiv ausgenutzt

Die Enterprise-Schwachstelle ist das dritte seit Mai gemeldete LiteSpeed-bezogene Problem, bei dem ein Hosting-Konto auf einer cPanel-Infrastruktur möglicherweise Root-Zugriff erlangen kann. Die beiden vorherigen Fälle betrafen jedoch die cPanel- und WHM-Plugins von LiteSpeed und nicht LiteSpeed Web Server Enterprise selbst.

CVE-2026-48172 ist eine kritische Schwachstelle zur Rechteausweitung mit einem CVSS-Score von 9.8 und dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Sie wurde im Mai 2026 aktiv ausgenutzt.

Die Daten zu den betroffenen Produkten führen Folgendes auf:

• LiteSpeed cPanel Plugin vor 2.4.7;
• LiteSpeed WHM Plugin vor 5.3.1.0.

In der Beschreibung der Schwachstelle wird jedoch separat auf das LiteSpeed User-End cPanel Plugin vor 2.4.5 verwiesen. Administratoren, die ältere Installationen untersuchen, sollten diese Abweichung berücksichtigen, statt davon auszugehen, dass beide Einträge dieselbe Versionsgrenze beschreiben.

CISA nahm CVE-2026-48172 am 26. Mai 2026 in seinen Katalog der Known Exploited Vulnerabilities auf und setzte für US-Bundesbehörden den 29. Mai 2026 als Frist für die Behebung. Als erforderliche Maßnahme waren die Anwendung der Gegenmaßnahmen des Anbieters, die Befolgung der einschlägigen BOD-22-01-Vorgaben für Cloud-Dienste oder die Einstellung der Nutzung vorgesehen, falls keine Gegenmaßnahmen verfügbar waren.

Für Nachweise im Zusammenhang mit dieser früheren Schwachstelle wurde außerdem eine Bash-Prüfung veröffentlicht:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

Keine Ausgabe bedeutet, dass diese spezifische Prüfung keine Ausnutzung von CVE-2026-48172 erkannt hat. Die zurückgegebenen Einträge müssen durch eine Prüfung der aufgeführten IP-Adressen, die Blockierung nicht autorisierter Quellen und eine weitergehende Log-Analyse validiert werden. Der Befehl erkennt die neue Enterprise-Schwachstelle nicht.

CVE-2026-54420 ist eine Schwachstelle bei der Verarbeitung symbolischer Links im LiteSpeed cPanel Plugin vor 2.4.8, das über das LiteSpeed WHM Plugin vor 5.3.2.0 verbreitet wird. Voraussetzung sind FTP- oder Web-Shell-Zugriff auf einen Shared-Hosting-Server, auf dem CloudLinux und CageFS eingesetzt werden.

Die Schwachstelle hat einen CVSS-Score von 8.5 und den Vektor CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H. Sie wurde im Mai 2026 aktiv ausgenutzt.

CISA nahm CVE-2026-54420 am 15. Juni 2026 in den KEV-Katalog auf und setzte den 18. Juni 2026 als Frist für die Behebung durch US-Bundesbehörden. Zu den erforderlichen Maßnahmen gehören die Anwendung der Gegenmaßnahmen des Anbieters, die Einhaltung von BOD 26-04 und der Anforderungen von CISA zur forensischen Triage, die Bewertung der Internet-Exponierung sowie die Einstellung der Produktnutzung, falls keine Gegenmaßnahmen verfügbar sind.

Die beiden Plugin-Schwachstellen zeigten, dass LiteSpeed-bezogene Komponenten auf gemeinsam genutzten cPanel-Systemen bereits gezielt angegriffen wurden. Für die neue Enterprise-Schwachstelle ist eine Ausnutzung weiterhin unbestätigt. Der mögliche Sprung von einem einzigen Hosting-Konto zu Root macht die sofortige Installation von Version 6.3.7 jedoch zur umsichtigsten Maßnahme.