LiteSpeed Web Server Enterprise 中的一个关键漏洞可能让低权限的网站用户在共享托管服务器上获得根访问权限，cPanel 在9月14日发布的公告中警告。
在这样的服务器上，许多客户的网站运行在一台机器上，拥有这些托管账户的攻击者可以利用该漏洞访问或更改其他网站及服务器本身，公告中提到。
cPanel 表示，它已收到该漏洞的通知，该漏洞影响6.3.7之前的版本，并敦促管理员更新到该版本，LiteSpeed 于9月11日发布了该版本。
该漏洞可以绕过将托管账户隔离的控制措施，包括 CageFS，cPanel 说。CageFS 是一个 CloudLinux 工具，为每个托管账户提供文件系统的受限视图，因此它无法看到其他账户或服务器的配置文件。
cPanel 的公告和 LiteSpeed 的发布说明都没有描述该漏洞是如何工作的。LiteSpeed 对6.3.7的公告称其为“安全改进、错误修复等！”其变更日志列出了三项安全更改，但没有提到特权提升漏洞，且两家公司都没有公开说明哪个更改修复了该漏洞。
公告没有 CVE 标识符或严重性评分，9月15日对已发布的 CVE 记录的检查发现该漏洞没有相关记录。公告也没有说明该漏洞是否已被利用。
cPanel 和 LiteSpeed 都给出了相同的命令来立即安装6.3.7：/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7
手动更新很重要，因为6.3.7 可能不会自动到达：LiteSpeed 表示“可能会有一些延迟”，在发布到达自动更新之前。
截至9月15日，LiteSpeed 的下载页面仍将6.3.6列为稳定版本，并列出了7月的6.4.0（RC1）预发布版本，其变更日志没有列出三项安全更改。cPanel 的公告没有说明6.4.0发布候选版本是否受到影响。
LiteSpeed 的更新文档表示，使用此命令强制特定版本会阻止服务器遵循其稳定更新级别，管理员可以通过运行 touch /usr/local/lsws/autoupdate/follow_stable 之后恢复自动稳定更新。
cPanel 的公告和 LiteSpeed 的发布说明都没有为无法立即更新的服务器提供解决方法，也没有指示检查服务器是否已经受到攻击。公告仅提到企业版，并未涉及 OpenLiteSpeed，LiteSpeed 的开源服务器，截至9月15日，LiteSpeed 尚未发布匹配的更新。
这是自5月以来第三次报告 LiteSpeed 软件在 cPanel 服务器上存在漏洞，允许托管账户获得根访问权限，但这是首次在 Web 服务器本身中发现。
在5月和6月，LiteSpeed 披露了其用户端 cPanel 插件中的两个此类漏洞，CVE-2026-48172 和 CVE-2026-54420，表示这两个漏洞正在被积极利用，并在插件中修复了这两个漏洞。CISA 后来将这两个漏洞添加到其已知被利用漏洞目录中，正如《黑客新闻》在5月和6月报道的那样。
《黑客新闻》已就该漏洞向 LiteSpeed、cPanel 和 CloudLinux 提出问题。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。