LONDON (IT BOLTWISE) – Eine kritische Sicherheitslücke in LiteSpeed Web Server Enterprise könnte es Nutzern mit niedrigem Privileg auf Shared-Hosting-Servern ermöglichen, Root-Zugriff zu erlangen. Betroffen sind Versionen vor 6.3.7; cPanel rät zur zeitnahen Aktualisierung auf die Release-Version vom 11. September. Laut Advisory kann die Lücke Trennmechanismen wie CageFS umgehen, sodass Angreifer andere Websites oder den Server selbst erreichen könnten. Wie genau die Lücke funktioniert, bleibt bislang ohne technische Details.
Auf Shared-Hosting-Umgebungen läuft häufig die komplette Website-„Flotte“ mehrerer Kunden auf derselben Hardware. Genau darin liegt der Risikohebel: Gelingt es einem Angreifer, aus einem einzelnen Hosting-Account die Sicherheitsbarrieren zu überwinden, kann er unter Umständen nicht nur fremde Seiten verändern, sondern auch Systemzugriff erlangen. In einer aktuellen Advisory hat cPanel deshalb eine Schwachstelle in LiteSpeed Web Server Enterprise beschrieben, die auf solchen Installationen besonders kritisch wirken kann.
Die Hinweise beziehen sich auf LiteSpeed Enterprise in Versionen vor 6.3.7. cPanel schreibt, es habe Kenntnis von der Lücke erhalten und empfiehlt Admins, auf 6.3.7 zu aktualisieren. LiteSpeed veröffentlichte die Version bereits am 11. September. Für die Betreiber ist das Update nicht nur „nice to have“, denn LiteSpeed deutet an, dass es bei der Auslieferung über automatische Kanäle zu Verzögerungen kommen kann; der Download-Stand am 15. September führte 6.3.6 noch als stabile Version.
Technisch brisant ist vor allem die Aussage, dass die Schwachstelle Kontrollen aushebeln kann, die Hosting-Accounts voneinander trennen. Dazu gehört auch CageFS von CloudLinux, das je Account eine eingeschränkte Dateisystem-Sicht bereitstellt. CageFS soll verhindern, dass ein Account andere Accounts oder Konfigurationsdateien des Servers sieht. Weder die Advisory von cPanel noch die veröffentlichten Release Notes von LiteSpeed gehen allerdings darauf ein, wie die Lücke konkret funktioniert; LiteSpeeds Ankündigung zu 6.3.7 nennt lediglich „Security improvements, bug fixes“ und einen Changelog mit drei Security-Änderungen, ohne dass klar wäre, welche davon die Privileg-Umschaltung behebt.
Für die Umsetzung nennt cPanel und LiteSpeed denselben Installationsbefehl, um 6.3.7 gezielt nachzuziehen: /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7. Gleichzeitig weist die Update-Dokumentation darauf hin, dass das Erzwingen einer bestimmten Version den Server daran hindern kann, dem vorgesehenen Stable-Update-Tier automatisch zu folgen. Wer den Automatikpfad später wiederherstellen will, soll laut Dokumentation anschließend touch /usr/local/lsws/autoupdate/follow_stable ausführen. Ergänzend bleibt aber offen, welche alternativen Maßnahmen Admins treffen können, wenn Systeme nicht sofort aktualisiert werden dürfen oder nicht gleichzeitig in einem Wartungsfenster stehen.
Unklarheiten bleiben auch bei der Einordnung: Die Advisory enthält keine CVE-Kennung und nennt keinen Schweregrad. Ein Abgleich veröffentlichter CVE-Einträge am 15. September soll für die gemeldete Schwachstelle keine Treffer ergeben haben. Außerdem sagt der Text nicht ausdrücklich, ob die Lücke bereits ausgenutzt wird. Noch ein Detail macht es für Betreiber komplexer: Die Hinweise adressieren ausschließlich die Enterprise-Edition; OpenLiteSpeed wird nicht mit einem passenden Update abgedeckt, zumindest nicht, wie es zum Zeitpunkt der Prüfung am 15. September verfügbar war.
Für die Lageeinschätzung lohnt sich der Blick in die Vorgeschichte. Laut Bericht handelt es sich um den dritten gemeldeten Fall seit Mai, in dem LiteSpeed-Software auf cPanel-Servern den Root-Zugriff für einen Hosting-Account ermöglichen kann. In den Monaten Mai und Juni wurden dabei Schwachstellen in einem cPanel-Plugin beschrieben (CVE-2026-48172 und CVE-2026-54420), die nach Angaben im Kontext der Veröffentlichung aktiv ausgenutzt worden seien und später über das Plugin behoben wurden. Behörden führten diese beiden CVEs später in einer Liste für nachgewiesene Ausnutzung; bei der aktuellen Webserver-Lücke ist der „Ausnutzungsstatus“ jedoch weiterhin nicht belegt. LiteSpeed, cPanel und CloudLinux wurden zudem mit Rückfragen zur konkreten Lücke konfrontiert, einschließlich der Frage nach technischen Details und möglichen Indikatoren.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Schwachstelle in LiteSpeed Enterprise: Root-Zugriff für Shared-Hosting-Accounts möglich" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Schwachstelle in LiteSpeed Enterprise: Root-Zugriff für Shared-Hosting-Accounts möglich" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Schwachstelle in LiteSpeed Enterprise: Root-Zugriff für Shared-Hosting-Accounts möglich« bei Google Deutschland suchen, bei Bing oder Google News!