Lỗ hổng nghiêm trọng trên LiteSpeed Enterprise cho phép chiếm quyền Root trên máy chủ dùng chung

CPanel vừa phát đi cảnh báo về một lỗ hổng bảo mật nghiêm trọng trong LiteSpeed Web Server Enterprise. Lỗ hổng này cho phép người dùng có đặc quyền thấp trên các tài khoản hosting có thể leo thang đặc quyền, chiếm quyền truy cập root trên các máy chủ shared hosting.

Trong môi trường shared hosting, nơi nhiều trang web của khách hàng cùng chạy trên một máy chủ, lỗ hổng này tạo điều kiện cho kẻ tấn công thực hiện các hành vi trái phép như truy cập hoặc chỉnh sửa dữ liệu của các trang web khác, thậm chí kiểm soát toàn bộ máy chủ. Đáng chú ý, lỗ hổng này có khả năng bypass các cơ chế kiểm soát phân tách tài khoản, bao gồm cả CageFS – công cụ của CloudLinux vốn được thiết kế để cô lập hệ thống tệp tin của từng người dùng.

Khuyến nghị cập nhật

Lỗ hổng ảnh hưởng đến các phiên bản LiteSpeed Web Server Enterprise trước 6.3.7. LiteSpeed đã phát hành bản vá vào ngày 11 tháng 9. Quản trị viên hệ thống được khuyến cáo nên cập nhật ngay lập tức bằng lệnh sau:

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7

Lưu ý rằng bản cập nhật này có thể chưa được tự động đẩy tới tất cả hệ thống ngay lập tức, do đó việc thực hiện thủ công là cần thiết. Sau khi cập nhật, quản trị viên có thể khôi phục chế độ cập nhật tự động bằng lệnh touch /usr/local/lsws/autoupdate/follow_stable.

Thông tin thêm

Hiện tại, cả cPanel và LiteSpeed đều chưa công bố chi tiết kỹ thuật về cách thức khai thác lỗ hổng này, cũng như chưa có mã định danh CVE cụ thể. Đây là lần thứ ba kể từ tháng 5 năm 2026, các lỗ hổng liên quan đến phần mềm LiteSpeed trên máy chủ cPanel bị báo cáo có khả năng leo thang đặc quyền root. Tuy nhiên, đây là trường hợp đầu tiên lỗ hổng nằm trực tiếp trong phần mềm web server thay vì các plugin đi kèm.

Hiện chưa có thông tin xác nhận về việc lỗ hổng này đã bị khai thác trong thực tế hay chưa, và cũng chưa có bản vá tương ứng cho phiên bản OpenLiteSpeed (mã nguồn mở).

Nguồn tham khảo: The Hacker News