LiteSpeed ja LSAPI: PHP uuendamine

Lühidalt: LiteSpeed PHP uuendus puudutab lsphp pakette, mille kaudu LiteSpeed käivitab PHP-d LSAPI abil. Pärast uuendust peavad kõik lsphp protsessid uuesti käivituma ja just see ei juhtu LiteSpeedi puhul alati veebiserveriga automaatselt. Kontrollige paketi seisu ja protsesside käivitusaega, enne kui peate serveri paigatuks.

LiteSpeed, LSAPI ja lsphp lühidalt

LiteSpeed Web Server ja selle vaba variant OpenLiteSpeed ei käivita PHP-d moodulina, vaid oma liidese kaudu, mida nimetatakse LSAPI-ks. Selle PHP programmid kannavad nime lsphp ja pärinevad enamasti oma paketiallikatest, iga versiooni kohta näiteks lsphp83 või lsphp84. Paneelides nagu cPanel, Plesk või CyberPanel võivad lisaks mängus olla paneeli oma PHP paketid.

PHP2Shell hõlmab PHP-s endas olevaid turvauke CVE-2026-109618 ja CVE-2026-109619, kumbki hinnatud CVSS v4.0 skaalal 9,2. PHP projekt nimetab LiteSpeedi selgesõnaliselt mõjutatud töörežiimide hulgas. Parandatud on versioonid 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.

LiteSpeed PHP uuendus: kaardistage olemasolev

Selgitage kõigepealt välja, millised lsphp versioonid on paigaldatud ja millised neist on kasutusel. Järgmised käsud ainult loevad. Teekonnad ja paketinimed on näited ning sõltuvad paigaldusest ja distributsioonist.

# Paigaldatud lsphp versioonid (tüüpiline tee)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Paketi seis (näited)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# Töötavad lsphp protsessid koos käivitusajaga
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Võrrelge loendit seadistusega: milline virtuaalne host kasutab millist External App Handler'it? LiteSpeedi liideses leiate selle jaotisest Server Configuration ja virtuaalhostide sätetest. Seostamata versioonid peaksite siiski uuendama või eemaldama.

Pidage silmas backporte ja paketiallikaid

Kui lsphp pärineb kolmandast allikast, otsustab selle paketi seis. Kui paneel või distributsioon tarnib PHP-d, kehtib nende andmestik. Mõlemal juhul võib parandus tulla backportina, ilma et kuvatav versiooninumber muutuks. Kontrollige seetõttu paketitarnija muudatusmärkusi ja laske kahtluse korral seis kinnitada. Üksnes versiooninumber ei ole tõend.

Taaskäivitus: millele LiteSpeedi puhul tähelepanu pöörata

LiteSpeed võib käitada PHP-d nn Detached Mode'is. Seal töötavad lsphp protsessid veebiserverist sõltumatult edasi, et veebisaidid vastaksid pärast veebiserveri taaskäivitust kiiremini. Turvauuenduse jaoks on see lõks: veebiserver on uuesti käivitatud, kuid vanad PHP protsessid haavatava koodiga jäävad aktiivseks.

# Veebiserver uuesti käivitada (tee on näide)
/usr/local/lsws/bin/lswsctrl restart

# Seejärel kontrollida: kas kõik lsphp protsessid on uuendusest uuemad?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Kui lsphp protsessi käivitusaeg on enne uuendust, lõpetage see sihipäraselt. LiteSpeed käivitab järgmise päringu peale uue protsessi uuendatud koodiga. Planeerige see samm väljaspool tippkoormuse aega, sest esimene päring iga veebisaidi kohta võib pärast seda veidi kauem aega võtta.

Ajutised meetmed kuni paigani

Kui lsphp versiooni jaoks pole veel parandatud paketti saadaval, soovitab php.net ajutisi meetmeid. Need ei paku täielikku kaitset. Seadke väärtused vastava lsphp versiooni php.ini-s või serveri seadistuses, mitte .user.ini failis ega funktsiooniga ini_set().

; mõjutatud lsphp versiooni php.ini (tee sõltub paigaldusest)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

Üleslaadimisfunktsiooniga nimetab php.net post_max_size = 32M, upload_max_filesize sellest väiksem. PHP 8.5 puhul lisandub fatal_error_backtraces=0. Mälupiirangud seadke cgroupide kaudu, CloudLinuxis näiteks seal ette nähtud limiitidega, mitte RLIMIT_AS või RLIMIT_DATA abil. Seejärel järgneb uuesti kõigi lsphp protsesside taaskäivitus. Täpsemalt: Kohesed meetmed ilma paigata. BSI soovitab veebiserveri ajutiselt võrgust lahti ühendada, kui uuendus ei ole kohe võimalik.

Pärast uuendust

Paik sulgeb turvaaugu, kuid ei eemalda juba sisse toodud pahavara ega tõesta, et varem midagi ei juhtunud. Säilitage ligipääsuprotokollid alates 20.10.2026 ja kontrollige veebisaite uute PHP failide suhtes üleslaadimiskataloogides, võõraste administraatorikontode ja ebatavaliste väljuvate ühenduste suhtes. Jooksva seire kohta annab näpunäiteid meie turvaseire. LiteSpeediga cPanel-serverites tasub lisaks vaadata lehte cPanel ja WHM.

Paljud LiteSpeed-serverid töötavad hostingpaneeli all, nagu cPanel, Plesk, DirectAdmin või CyberPanel. Paneel määrab siis, millisest allikast lsphp pärineb ja kuidas uuendusi paigaldatakse. Tehke uuendused sel juhul paneeli või selle paketiallikate kaudu ja ärge paigaldage paralleelselt teisest allikast, sest muidu on raske jälgida, milline versioon tegelikult töötab. Pidage lisaks arvet, milline veebisait töötab millise lsphp versiooniga. Paljude klientide kontodega serverites on see loend aluseks, et teavitada kontode omanikke sihipäraselt ja kontrollida pärast uuendust valikuliselt, kas veebisaidid töötavad veatult. Veebisaidid, mis nõuavad enam toetamata PHP versiooni, kuuluvad eraldi loendisse, sest nende jaoks ametlikku uuendust ei tule.

Kuidas PHP SOS konkreetselt aitab?

• Kaardistame teie serveri kõik lsphp versioonid, paketiallikad ja käsitlejate seosed.
• PHP paikamisteenuse kaudu uuendame, lõpetame kõik vanad lsphp protsessid ja dokumenteerime tõendi.
• Kus paketti veel ei ole, seame ajutised väärtused serveri tasemel ja piirame mälu cgroupi kaudu.
• Kontrollime veebisaite rünnaku jälgede suhtes ja kindlustame logid.

Korduma kippuvad küsimused

Allikad

• php.net: turvateated
• PHP 8 ChangeLog
• php.net: toetatud versioonid
• BSI