Una vulnerabilità critica di LiteSpeed Enterprise potrebbe trasformare un singolo account di hosting in accesso root

Una vulnerabilità critica in LiteSpeed Web Server Enterprise potrebbe consentire a un utente di un sito web con privilegi limitati di aggirare l’isolamento dell’account e potenzialmente ottenere il controllo a livello root di un server di hosting condiviso.

cPanel ha avvisato i clienti il 14 settembre 2026 che il problema riguarda le versioni di LiteSpeed Enterprise precedenti alla 6.3.7. LiteSpeed ha rilasciato la versione corretta l’11 settembre 2026, ma gli amministratori potrebbero doverla installare manualmente, perché la distribuzione attraverso i canali di aggiornamento automatico può subire ritardi.

La vulnerabilità è particolarmente pericolosa negli ambienti di hosting condiviso. La compromissione di un singolo account cliente potrebbe esporre altri siti web, i file di configurazione del server e, in ultima analisi, l’host sottostante.

Un errore nell’isolamento dei tenant con conseguenze sull’intero server

I server di hosting condiviso eseguono siti web appartenenti a più clienti sulla stessa macchina. La loro sicurezza dipende da controlli che impediscono a un account di accedere ai file di un altro account o alle risorse privilegiate del sistema operativo.

La vulnerabilità di LiteSpeed può aggirare questi confini, compreso l’isolamento fornito da CloudLinux CageFS. CageFS normalmente offre a ogni account di hosting una visuale limitata del filesystem, nascondendo i dati di configurazione sensibili e i contenuti appartenenti agli altri clienti.

Un attaccante che abbia già il controllo di un account di sito web con privilegi limitati potrebbe sfruttare la vulnerabilità per oltrepassare questo confine. Le possibili conseguenze includono:

• Lettura o modifica dei file appartenenti ad altri clienti del servizio di hosting;
• Accesso a file di configurazione che dovrebbero essere invisibili all’account;
• Manomissione di altri siti web ospitati sullo stesso server;
• Escalation da un account tenant all’accesso privilegiato al server;
• Compromissione delle protezioni di CageFS sull’intera macchina interessata.

Non è stato reso noto l’insieme preciso delle configurazioni vulnerabili. Sebbene l’avviso evidenzi specificamente l’hosting condiviso e l’isolamento di CageFS, non chiarisce se lo sfruttamento richieda CloudLinux o si applichi in egual misura ad altri modelli di distribuzione.

Anche la causa tecnica della vulnerabilità è sconosciuta. Né cPanel né LiteSpeed hanno descritto il percorso di esecuzione vulnerabile, le condizioni preliminari necessarie o la sequenza attraverso la quale un attaccante potrebbe arrivare ai privilegi root.

Al momento non esistono un identificativo CVE o un punteggio CVSS pubblicati per il problema. Una verifica dei registri CVE condotta il 15 settembre 2026 non ha rilevato una voce corrispondente e cPanel non ha dichiarato che la vulnerabilità venga sfruttata attivamente.

Le versioni Enterprise precedenti alla 6.3.7 richiedono attenzione

Sono interessate tutte le versioni di LiteSpeed Web Server Enterprise precedenti alla 6.3.7. La versione 6.3.7 è l’aggiornamento di sicurezza consigliato.

La situazione delle versioni disponibili può tuttavia confondere gli amministratori. Il 15 settembre 2026 la pagina pubblica di download di LiteSpeed indicava ancora la versione 6.3.6 come release stabile, nonostante la raccomandazione di distribuire la 6.3.7. Gli operatori dovrebbero quindi verificare la versione effettivamente in esecuzione su ogni server, invece di fare affidamento sull’etichetta del canale stabile.

LiteSpeed indicava anche la versione 6.4.0 RC1, ma questa release candidate non può attualmente essere considerata una correzione confermata. Il relativo changelog non include le tre modifiche di sicurezza associate alla 6.3.7 e cPanel non ha chiarito se una delle release candidate della 6.4.0 sia vulnerabile.

Anche la situazione di OpenLiteSpeed resta irrisolta. L’avviso di cPanel non riguarda il web server open source e, al 15 settembre 2026, LiteSpeed non aveva pubblicato un aggiornamento corrispondente per OpenLiteSpeed. Questa assenza non dimostra che OpenLiteSpeed sia vulnerabile o sicuro.

Il changelog della 6.3.7 elenca tre modifiche di sicurezza, ma nessuna è identificata esplicitamente come la correzione dell’accesso root. Di conseguenza, le informazioni disponibili sulla release non rivelano quale modifica al codice chiuda l’aggiramento dell’isolamento.

Gli amministratori dovrebbero forzare l’installazione della 6.3.7

Gli operatori di LiteSpeed Enterprise dovrebbero installare manualmente la versione 6.3.7, invece di attendere la distribuzione ordinaria. LiteSpeed e cPanel hanno fornito entrambi il comando seguente:

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7

Il comando forza l’installazione della versione specificata. Inoltre impedisce al server di seguire automaticamente il normale livello di aggiornamento stabile.

Una volta completato e verificato l’aggiornamento, gli amministratori possono ripristinare il monitoraggio del canale stabile con:

touch /usr/local/lsws/autoupdate/follow_stable

Gli operatori dovrebbero verificare che il server in esecuzione riporti la versione 6.3.7. Dovrebbero inoltre censire i sistemi di hosting condiviso per individuare le installazioni Enterprise meno recenti, comprese quelle che potrebbero non aver ancora ricevuto la release tramite gli aggiornamenti automatici.

Non è stata pubblicata alcuna soluzione temporanea per i server che non possono essere aggiornati immediatamente. Se l’aggiornamento è operativamente impossibile, gli amministratori non dispongono al momento di una modifica di configurazione documentata dal fornitore che blocchi in modo affidabile la vulnerabilità.

Non esistono indicatori di compromissione dedicati

Né cPanel né LiteSpeed hanno fornito indicatori che consentano di stabilire se la vulnerabilità di Enterprise sia stata sfruttata. Non sono stati pubblicati nomi di file, comandi, schemi di rete, firme nei log o altri artefatti associati a questa vulnerabilità.

Gli amministratori dovrebbero esaminare i log del web server, di autenticazione, del pannello di controllo dell’hosting, dei privilegi e del filesystem alla ricerca di attività sospette. Tra i comportamenti rilevanti rientrano accessi inattesi tra account cliente, modifiche inspiegabili ai siti ospitati, tentativi di lettura di file di configurazione protetti e azioni privilegiate avviate da processi dei siti web o da identità tenant.

Questi elementi sono spunti investigativi, non indicatori confermati di questa vulnerabilità. La mancanza di dettagli tecnici rende difficile distinguere lo sfruttamento da altre forme di compromissione del web server.

Gli operatori dovrebbero inoltre evitare di applicare alla vulnerabilità Enterprise attuale le indicazioni di rilevamento relative a precedenti vulnerabilità dei plugin LiteSpeed. Quelle vulnerabilità interessavano componenti distinti e utilizzavano percorsi di attacco diversi.

Due precedenti vulnerabilità dei plugin LiteSpeed sono state sfruttate attivamente

La vulnerabilità di Enterprise è il terzo problema segnalato a partire da maggio in ambito LiteSpeed che comporta un possibile accesso root partendo da un account di hosting sull’infrastruttura cPanel. Tuttavia, i due casi precedenti riguardavano i plugin LiteSpeed per cPanel e WHM, non LiteSpeed Web Server Enterprise.

CVE-2026-48172 è una vulnerabilità critica di escalation dei privilegi con un punteggio CVSS di 9.8 e il vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. È stata sfruttata attivamente nel maggio 2026.

I dati sui prodotti interessati indicano:

• LiteSpeed cPanel Plugin precedente alla 2.4.7;
• LiteSpeed WHM Plugin precedente alla 5.3.1.0.

Tuttavia, la descrizione della vulnerabilità fa riferimento separatamente al LiteSpeed User-End cPanel Plugin precedente alla 2.4.5. Gli amministratori che analizzano installazioni meno recenti dovrebbero tenere conto di questa discrepanza, invece di presumere che entrambi i record descrivano lo stesso limite di versione.

CISA ha aggiunto CVE-2026-48172 al catalogo Known Exploited Vulnerabilities il 26 maggio 2026, fissando al 29 maggio 2026 la scadenza per la correzione da parte delle organizzazioni federali. L’azione richiesta consisteva nell’applicare le misure di mitigazione del fornitore, seguire le indicazioni BOD 22-01 applicabili ai servizi cloud oppure interrompere l’utilizzo se le misure di mitigazione non erano disponibili.

È stato pubblicato anche un controllo Bash per cercare elementi associati a quella vulnerabilità precedente:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

Nessun output indica che questo controllo specifico non abbia rilevato lo sfruttamento di CVE-2026-48172. Le righe restituite richiedono la convalida degli indirizzi IP indicati, il blocco delle fonti non autorizzate e un’ulteriore analisi dei log. Il comando non rileva la nuova vulnerabilità di Enterprise.

CVE-2026-54420 è una vulnerabilità nella gestione dei collegamenti simbolici presente nel plugin LiteSpeed cPanel precedente alla 2.4.8 e distribuita tramite LiteSpeed WHM Plugin precedente alla 5.3.2.0. Richiede l’accesso FTP o a una web shell su un server di hosting condiviso che utilizzi CloudLinux e CageFS.

La vulnerabilità ha un punteggio CVSS di 8.5 e il vettore CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H. È stata sfruttata nel maggio 2026.

CISA ha aggiunto CVE-2026-54420 al catalogo KEV il 15 giugno 2026, fissando al 18 giugno 2026 la scadenza per la correzione da parte delle agenzie federali statunitensi. Le azioni richieste includono l’applicazione delle misure di mitigazione del fornitore, la conformità a BOD 26-04 e ai requisiti di triage forense di CISA, la valutazione dell’esposizione a Internet e l’interruzione dell’utilizzo del prodotto se le misure di mitigazione non sono disponibili.

Le due vulnerabilità dei plugin hanno dimostrato che i componenti correlati a LiteSpeed sui sistemi cPanel condivisi erano già presi di mira. Per la nuova vulnerabilità di Enterprise, lo sfruttamento resta non confermato, ma il possibile passaggio da un singolo account di hosting ai privilegi root rende prudente installare immediatamente la versione 6.3.7.