Lyhyesti: LiteSpeed PHP -päivitys koskee lsphp-paketteja, joiden kautta LiteSpeed suorittaa PHP:tä LSAPI:lla. Päivityksen jälkeen kaikkien lsphp-prosessien on käynnistyttävä uudelleen, ja juuri se ei LiteSpeedillä aina tapahdu automaattisesti verkkopalvelimen mukana. Tarkista pakettitila ja prosessin käynnistysaika, ennen kuin luokittelet palvelimen korjatuksi.
LiteSpeed, LSAPI ja lsphp lyhyesti
LiteSpeed Web Server ja sen ilmainen variantti OpenLiteSpeed eivät suorita PHP:tä moduulina vaan oman rajapintansa, LSAPI:n, kautta. Tätä varten käytettävät PHP-ohjelmat ovat nimeltään lsphp, ja ne tulevat yleensä omista pakettilähteistään, versiosta riippuen esimerkiksi lsphp83 tai lsphp84. Paneeleissa kuten cPanel, Plesk tai CyberPanel mukana voi lisäksi olla paneelin omia PHP-paketteja.
PHP2Shell koostuu haavoittuvuuksista CVE-2026-109618 ja CVE-2026-109619 itse PHP:ssä, kumpikin arvioitu CVSS v4.0 -pisteillä 9.2. PHP-projekti luettelee LiteSpeedin nimenomaisesti koskeneiden toimintatapojen joukossa. Korjatut versiot ovat 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.
LiteSpeed PHP -päivitys: kartoita kanta
Selvitä ensin, mitkä lsphp-versiot on asennettu ja mitkä niistä ovat käytössä. Seuraavat komennot vain lukevat. Polut ja pakettien nimet ovat esimerkkejä ja riippuvat asennuksesta ja jakelusta.
# Asennetut lsphp-versiot (tyypillinen polku)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done
# Pakettitila (esimerkkejä)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'
# Käynnissä olevat lsphp-prosessit käynnistysaikoineen
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
Vertaa luetteloa konfiguraatioon: mikä virtuaalipalvelin käyttää mitäkin External App Handleria? LiteSpeedin käyttöliittymässä sen löydät kohdasta Server Configuration ja virtuaalipalvelinten asetuksista. Versiot ilman liitosta kannattaa silti päivittää tai poistaa.
Huomioi backportit ja pakettilähteet
Jos lsphp tulee ulkopuolisesta lähteestä, ratkaisevaa on sen pakettitila. Jos paneeli tai jakelu toimittaa PHP:n, päteää sen ilmoitus. Kummassakin tapauksessa korjaus voidaan toimittaa backport-korjauksena niin, ettei näytetty versionumero muutu. Tarkista siksi paketin toimittajan muutosmerkinnät ja pyydä epäselvässä tapauksessa tilan vahvistus. Versionumero yksin ei ole todiste.
Uudelleenkäynnistys: mikä LiteSpeedillä on olennaista
LiteSpeed voi ajaa PHP:tä niin sanotussa Detached Modessa. Silloin lsphp-prosessit jatkavat toimintaansa verkkopalvelimesta riippumatta, jotta verkkosivustot vastaavat nopeammin verkkopalvelimen uudelleenkäynnistyksen jälkeen. Tietoturvapäivityksen kannalta tämä on sudenkuoppa: verkkopalvelin on käynnistetty uudelleen, mutta vanhat PHP-prosessit haavoittuvine koodeineen pysyvät aktiivisina.
# Käynnistä verkkopalvelin uudelleen (polku esimerkkinä)
/usr/local/lsws/bin/lswsctrl restart
# Tarkista sen jälkeen: ovatko kaikki lsphp-prosessit päivitystä uudempia?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
Jos lsphp-prosessin käynnistysaika on ennen päivitystä, lopeta se kohdennetusti. LiteSpeed käynnistää seuraavan pyynnön yhteydessä uuden prosessin päivitetyllä koodilla. Aikatauluta tämä vaihe pääkuormitusajan ulkopuolelle, sillä ensimmäinen pyyntö verkkosivustoa kohden voi sen jälkeen kestää hieman kauemmin.
PHP-päivityksen jälkeen palvelin on korjattu vasta, kun mikään lsphp-prosessi ei ole päivitystä vanhempi. Kirjaa tarkistus ylös päivämäärän ja kellonajan kanssa.
Väliaikaiset toimenpiteet, kunnes korjaus on saatavilla
Jos lsphp-versiolle ei ole vielä korjattua pakettia, php.net suosittelee väliaikaisia toimenpiteitä. Ne eivät tarjoa täydellistä suojaa. Aseta arvot kyseisen lsphp-version php.ini-tiedostossa tai palvelinkonfiguraatiossa, älä .user.ini-tiedostossa äläkä ini_set()-kutsulla.
; kyseisen lsphp-version php.ini (polku asennuksesta riippuen)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M
Latausominaisuuden kanssa php.net mainitsee arvon post_max_size = 32M ja upload_max_filesize sen alapuolella. PHP 8.5:ssä lisätään fatal_error_backtraces=0. Muistirajat asetat cgroupien kautta, CloudLinuxissa esimerkiksi siellä tarkoitetuilla rajoilla, et RLIMIT_AS- tai RLIMIT_DATA-asetuksilla. Sen jälkeen kaikki lsphp-prosessit käynnistetään taas uudelleen. Lisätietoja: Pikatoimet ilman korjausta. BSI (Saksan liittovaltion tietoturvavirasto) suosittelee ottamaan verkkopalvelimen tilapäisesti pois verkosta, jos päivitystä ei voi tehdä heti.
Päivityksen jälkeen
Korjaus sulkee haavoittuvuuden, mutta ei poista jo asennettua haittaohjelmaa eikä todista, ettei aiemmin tapahtunut mitään. Säilytä käyttölokit 20.10.2026 alkaen ja tarkista verkkosivustot uusien PHP-tiedostojen varalta latauskansioissa, vieraiden ylläpitäjätilien ja epätavallisten lähtevien yhteyksien varalta. Vinkkejä jatkuvaan valvontaan tarjoaa tietoturvavalvontamme. cPanel-palvelimilla, joilla on LiteSpeed, kannattaa lisäksi vilkaista sivua cPanel ja WHM.
Monet LiteSpeed-palvelimet toimivat hosting-paneelin, kuten cPanelin, Pleskin, DirectAdminin tai CyberPanelin, alla. Paneeli määrää silloin, mistä lähteestä lsphp tulee ja miten päivitykset asennetaan. Tee päivitykset tässä tapauksessa paneelin tai sen pakettilähteiden kautta äläkä asenna rinnakkain toisesta lähteestä, muuten on vaikea jäljittää, mikä versio todella pyörii. Kirjaa lisäksi ylös, mitä verkkosivustoa ajetaan millä lsphp-versiolla. Palvelimilla, joilla on paljon asiakastilejä, tämä luettelo on perusta tilien haltijoiden kohdennetulle tiedottamiselle ja sille, että päivityksen jälkeen tarkistetaan pistokokein verkkosivustojen virheetön toiminta. Verkkosivustot, jotka vaativat enää tukemattoman PHP-version, kuuluvat omalle luettelolleen, koska niille ei tule virallista päivitystä.
Miten PHP SOS auttaa konkreettisesti?
- Kartoitamme palvelimenne kaikki lsphp-versiot, pakettilähteet ja käsittelijäliitokset.
- PHP-korjauspalvelun kautta päivitämme, lopetamme kaikki vanhat lsphp-prosessit ja dokumentoimme todisteen.
- Missä pakettia ei vielä ole saatavilla, asetamme väliaikaiset arvot palvelinlaajuisesti ja rajoitamme muistin cgroupilla.
- Tarkistamme verkkosivustot hyökkäyksen jälkien varalta ja turvaamme lokit.
Usein kysytyt kysymykset
Koskeeko PHP2Shell LiteSpeediä?
Kyllä. PHP-projektin mukaan LiteSpeed kuuluu koskeneisiin toimintatapoihin. Haavoittuvuudet ovat itse PHP:ssä, jota LiteSpeed suorittaa LSAPI:n kautta. Ratkaisevaa on siksi lsphp-pakettien tila.
Miksi päivityksen jälkeen pyörii yhä vanhoja lsphp-prosesseja?
LiteSpeed voi antaa PHP-prosessien jatkaa verkkopalvelimesta riippumatta latausaikojen säästämiseksi. Verkkopalvelimen uudelleenkäynnistys ei toimintatavasta riippuen lopeta niitä heti. Tarkista siksi kaikkien lsphp-prosessien käynnistysaika.
Pätevätkö nämä ohjeet myös OpenLiteSpeedille?
Periaatteessa kyllä. OpenLiteSpeed käyttää myös lsphp:tä LSAPI:n kautta. Polut, pakettilähteet ja hallintakäyttöliittymä eroavat, mutta periaate päivityksestä, uudelleenkäynnistyksestä ja tarkistuksesta pysyy samana.
Auttaako LiteSpeedin välimuisti haavoittuvuutta vastaan?
Ei. Sivuvälimuisti tarjoaa osan sivuista ilman PHP:tä, mutta pyynnöt, jotka pääsevät PHP:hen, pysyvät hyökättävissä. Välimuisti ei korvaa PHP-päivitystä.