Kurz gesagt: Ein LiteSpeed PHP-Update betrifft die lsphp-Pakete, über die LiteSpeed PHP per LSAPI ausführt. Nach dem Update müssen alle lsphp-Prozesse neu starten, und genau das passiert bei LiteSpeed nicht immer automatisch mit dem Webserver. Prüfen Sie Paketstand und Prozess-Startzeit, bevor Sie den Server als gepatcht einstufen.
LiteSpeed, LSAPI und lsphp kurz erklärt
LiteSpeed Web Server und die freie Variante OpenLiteSpeed führen PHP nicht als Modul aus, sondern über eine eigene Schnittstelle namens LSAPI. Die PHP-Programme dafür heissen lsphp und kommen meist aus eigenen Paketquellen, je Version etwa lsphp83 oder lsphp84. Auf Panels wie cPanel, Plesk oder CyberPanel können zusätzlich panel-eigene PHP-Pakete im Spiel sein.
PHP2Shell umfasst die Lücken CVE-2026-109618 und CVE-2026-109619 in PHP selbst, jeweils mit CVSS v4.0 9.2 bewertet. Das PHP-Projekt führt LiteSpeed ausdrücklich unter den betroffenen Betriebsarten. Behoben sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.
LiteSpeed PHP-Update: Bestand erfassen
Finden Sie zuerst heraus, welche lsphp-Versionen installiert sind und welche davon in Gebrauch sind. Die folgenden Befehle lesen nur. Pfade und Paketnamen sind Beispiele und hängen von Installation und Distribution ab.
# Installierte lsphp-Versionen (typischer Pfad)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done
# Paketstand (Beispiele)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'
# Laufende lsphp-Prozesse mit Startzeit
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
Gleichen Sie die Liste mit der Konfiguration ab: Welcher virtuelle Host nutzt welchen External App Handler? In der LiteSpeed-Oberfläche finden Sie das unter Server Configuration und den Einstellungen der virtuellen Hosts. Versionen ohne Zuordnung sollten Sie trotzdem aktualisieren oder entfernen.
Backports und Paketquellen beachten
Kommt lsphp aus einer Fremdquelle, entscheidet deren Paketstand. Liefert ein Panel oder eine Distribution PHP, gilt deren Angabe. In beiden Fällen kann eine Korrektur als Backport ausgeliefert werden, ohne dass sich die angezeigte Versionsnummer ändert. Prüfen Sie daher die Änderungshinweise des Paketanbieters und lassen Sie sich den Stand im Zweifel bestätigen. Die Versionsnummer allein ist kein Nachweis.
Neustart: Worauf es bei LiteSpeed ankommt
LiteSpeed kann PHP im sogenannten Detached Mode betreiben. Dabei laufen lsphp-Prozesse unabhängig vom Webserver weiter, damit Websites nach einem Webserver-Neustart schneller antworten. Für ein Sicherheitsupdate ist das ein Fallstrick: Der Webserver ist neu gestartet, aber alte PHP-Prozesse mit dem verwundbaren Code bleiben aktiv.
# Webserver neu starten (Pfad als Beispiel)
/usr/local/lsws/bin/lswsctrl restart
# Danach kontrollieren: Sind alle lsphp-Prozesse jünger als das Update?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
Zeigt ein lsphp-Prozess eine Startzeit vor dem Update, beenden Sie ihn gezielt. LiteSpeed startet bei der nächsten Anfrage einen neuen Prozess mit dem aktualisierten Code. Planen Sie diesen Schritt ausserhalb der Hauptlastzeiten, denn die erste Anfrage je Website kann danach etwas länger dauern.
Nach dem PHP-Update ist ein Server erst dann gepatcht, wenn kein lsphp-Prozess älter ist als das Update. Halten Sie die Kontrolle mit Datum und Uhrzeit fest.
Übergangsmassnahmen, bis der Patch da ist
Ist für eine lsphp-Version noch kein behobenes Paket verfügbar, empfiehlt php.net Übergangsmassnahmen. Sie bieten keinen vollständigen Schutz. Setzen Sie die Werte in der php.ini der jeweiligen lsphp-Version oder in der Serverkonfiguration, nicht in .user.ini und nicht per ini_set().
; php.ini der betroffenen lsphp-Version (Pfad je Installation)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M
Mit Upload-Funktion nennt php.net post_max_size = 32M, upload_max_filesize darunter. Auf PHP 8.5 kommt fatal_error_backtraces=0 hinzu. Speichergrenzen setzen Sie über cgroups, auf CloudLinux etwa über die dort vorgesehenen Limits, nicht über RLIMIT_AS oder RLIMIT_DATA. Danach folgt erneut der Neustart aller lsphp-Prozesse. Weitere Details: Sofortmassnahmen ohne Patch. Das BSI empfiehlt, einen Webserver vorübergehend vom Netz zu nehmen, wenn das Update nicht sofort möglich ist.
Nach dem Update
Ein Patch schliesst die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware und belegt nicht, dass vorher nichts geschah. Bewahren Sie die Zugriffsprotokolle ab dem 20.10.2026 auf und prüfen Sie die Websites auf neue PHP-Dateien in Upload-Verzeichnissen, fremde Administrator-Konten und ungewöhnliche ausgehende Verbindungen. Hinweise zur laufenden Überwachung bietet unser Security-Monitoring. Auf cPanel-Servern mit LiteSpeed lohnt zusätzlich ein Blick auf cPanel und WHM.
Viele LiteSpeed-Server laufen unter einem Hosting-Panel wie cPanel, Plesk, DirectAdmin oder CyberPanel. Das Panel bestimmt dann, aus welcher Quelle lsphp kommt und wie Updates eingespielt werden. Nehmen Sie Updates in diesem Fall über das Panel oder dessen Paketquellen vor und installieren Sie nicht parallel aus einer zweiten Quelle, sonst wird schwer nachvollziehbar, welche Fassung tatsächlich läuft. Halten Sie ausserdem fest, welche Website mit welcher lsphp-Version betrieben wird. Auf Servern mit vielen Kundenkonten ist diese Liste die Grundlage, um Konteninhaber gezielt zu informieren und nach dem Update stichprobenartig zu prüfen, ob die Websites fehlerfrei laufen. Websites, die eine nicht mehr unterstützte PHP-Version verlangen, gehören auf eine eigene Liste, weil für sie kein offizielles Update kommt.
Wie hilft PHP SOS konkret?
- Wir erfassen alle lsphp-Versionen, Paketquellen und Handler-Zuordnungen Ihres Servers.
- Über den PHP-Patch-Service aktualisieren wir, beenden alle alten lsphp-Prozesse und dokumentieren den Nachweis.
- Wo noch kein Paket bereitsteht, setzen wir die Übergangswerte serverweit und begrenzen den Speicher per cgroup.
- Wir prüfen die Websites auf Spuren eines Angriffs und sichern die Logs.
Häufige Fragen
Ist LiteSpeed von PHP2Shell betroffen?
Ja. Laut PHP-Projekt gehört LiteSpeed zu den betroffenen Betriebsarten. Die Lücken liegen in PHP selbst, das LiteSpeed über LSAPI ausführt. Massgeblich ist daher der Stand der lsphp-Pakete.
Warum laufen nach dem Update noch alte lsphp-Prozesse?
LiteSpeed kann PHP-Prozesse unabhängig vom Webserver weiterlaufen lassen, um Ladezeiten zu sparen. Ein Neustart des Webservers beendet sie je nach Betriebsart nicht sofort. Kontrollieren Sie deshalb die Startzeit aller lsphp-Prozesse.
Gilt das auch für OpenLiteSpeed?
Grundsätzlich ja. OpenLiteSpeed nutzt ebenfalls lsphp über LSAPI. Pfade, Paketquellen und Verwaltungsoberfläche unterscheiden sich, das Prinzip aus Update, Neustart und Kontrolle bleibt gleich.
Hilft der LiteSpeed-Cache gegen die Lücke?
Nein. Ein Seiten-Cache liefert zwar manche Seiten ohne PHP aus, doch Anfragen, die PHP erreichen, bleiben angreifbar. Ein Cache ist kein Ersatz für das PHP-Update.