Один взломанный сайт = контроль над всем сервером: LiteSpeed латает критическую дыру, через которую уже атакуют

Как баг LiteSpeed ломает стены между аккаунтами.

В пользовательском плагине LiteSpeed для cPanel закрыли критическую уязвимость CVE-2026-48172 . Ошибка уже используется в атаках и позволяет любому пользователю cPanel, включая владельца взломанного аккаунта, запускать произвольные скрипты с правами root . Для серверов на общем хостинге такой сценарий особенно опасен: доступ к одному аккаунту может стать шагом к полному контролю над всей системой.

Проблема затрагивает именно пользовательский плагин LiteSpeed для cPanel. Плагин LiteSpeed для WHM, по данным компании, напрямую не уязвим, но исправленная версия cPanel-плагина поставляется вместе с обновлённым WHM-плагином. LiteSpeed выпустила исправление в версии cPanel-плагина 2.4.5, а затем после дополнительной проверки безопасности рекомендовала переходить на LiteSpeed WHM Plugin 5.3.1.0, в который входит cPanel-плагин 2.4.7.

Уязвимость связана с функцией lsws.redisAble. По описанию LiteSpeed, через неё пользователь cPanel мог добиться выполнения скриптов от имени root. В нормальной ситуации аккаунт cPanel должен быть ограничен рамками конкретного сайта или пользователя. Здесь граница между обычным аккаунтом и системными правами нарушалась, поэтому ошибка получила статус повышения привилегий .

Под угрозой находятся версии пользовательского cPanel-плагина LiteSpeed с 2.3 по 2.4.4. Серверы с более старыми установками нужно обновить как можно быстрее, потому что компания прямо сообщает об активной эксплуатации . И так как атаки уже идут, администраторам стоит проверять не только версии, но и следы возможного использования ошибки.

Для проверки LiteSpeed предлагает искать в журналах обращения к уязвимой функции. Компания приводит команду:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

Если команда ничего не выводит, явных следов эксплуатации по этому признаку не найдено. Если вывод есть, администратору нужно проверить IP-адреса из журналов, отделить легитимные обращения от подозрительных, заблокировать нежелательные источники и посмотреть системные логи за тот же период. Так можно понять, запускались ли от имени root команды или скрипты, которых на сервере быть не должно.

Основная рекомендация LiteSpeed - обновиться до LiteSpeed WHM Plugin 5.3.1.0 или более новой версии. В эту сборку входит пользовательский cPanel-плагин 2.4.7, где закрыта не только первоначальная уязвимость, но и дополнительные проблемы, найденные во время расширенной проверки. Компания подчёркивает, что сообщений об эксплуатации этих дополнительных уязвимостей не было: их исправили заранее после внутреннего аудита и работы с командой cPanel/WebPros.

Если обновить плагин прямо сейчас невозможно, LiteSpeed предлагает временно удалить пользовательский cPanel-плагин. Для этого компания приводит команду:

/usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstall

Такой шаг отключает уязвимый компонент и снижает риск до полноценного обновления. Но для рабочих серверов это временная мера: после удаления плагина администратору всё равно нужно спланировать установку исправленной версии и проверить, не остались ли на системе следы атаки.

Первые сообщения о проблеме LiteSpeed получила 19 мая 2026 года. В тот же день cPanel отправила команду на удаление пользовательского плагина, а LiteSpeed выпустила cPanel-плагин 2.4.6 и WHM-плагин 5.3.0.0. 20 мая компания запросила CVE, а 21 мая завершила дополнительную проверку безопасности и выпустила cPanel-плагин 2.4.7 вместе с WHM-плагином 5.3.1.0.

О первоначальной уязвимости LiteSpeed сообщил исследователь Дэвид Страйдем. Компания также отдельно поблагодарила команду cPanel за быструю реакцию, которая должна была помешать дальнейшей эксплуатации на дополнительных серверах. Все известные на момент публикации проблемы закрыты, поэтому для актуальных установок дополнительных действий не требуется. Администраторам, которые давно не обновляли LiteSpeed-плагины для cPanel и WHM, нужно поставить свежую версию и проверить журналы на обращения к redisAble.