LiteSpeed i LSAPI: ažuriranje PHP-a

Ukratko: LiteSpeed PHP ažuriranje odnosi se na lsphp pakete putem kojih LiteSpeed izvršava PHP preko LSAPI-ja. Nakon ažuriranja moraju se ponovno pokrenuti svi lsphp procesi, a upravo se to kod LiteSpeeda ne događa uvijek automatski s web-poslužiteljem. Provjerite stanje paketa i vrijeme pokretanja procesa prije nego što poslužitelj ocijenite zakrpanim.

LiteSpeed, LSAPI i lsphp ukratko

LiteSpeed Web Server i njegova slobodna varijanta OpenLiteSpeed PHP ne izvršavaju kao modul, nego putem vlastitog sučelja zvanog LSAPI. PHP programi za to zovu se lsphp i najčešće dolaze iz vlastitih izvora paketa, po verziji primjerice lsphp83 ili lsphp84. Na panelima poput cPanela, Plesk-a ili CyberPanela dodatno mogu biti u igri PHP paketi samog panela.

PHP2Shell obuhvaća ranjivosti CVE-2026-109618 i CVE-2026-109619 u samom PHP-u, svaka ocijenjena s CVSS v4.0 9,2. PHP projekt LiteSpeed izričito navodi među pogođenim načinima rada. Ispravljene su verzije 8.5.12, 8.4.27, 8.3.36 i 8.2.35.

LiteSpeed PHP ažuriranje: popišite stanje

Najprije saznajte koje su lsphp verzije instalirane i koje se od njih koriste. Sljedeće naredbe samo čitaju. Putanje i nazivi paketa su primjeri i ovise o instalaciji i distribuciji.

# Instalirane lsphp verzije (tipična putanja)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Stanje paketa (primjeri)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# lsphp procesi koji rade s vremenom pokretanja
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Popis usporedite s konfiguracijom: koji virtualni host koristi koji External App Handler? U LiteSpeed sučelju to ćete naći pod Server Configuration i postavkama virtualnih hostova. Verzije bez dodjele ipak biste trebali ažurirati ili ukloniti.

Obratite pozornost na backporte i izvore paketa

Ako lsphp dolazi iz vanjskog izvora, odlučuje njegovo stanje paketa. Ako PHP isporučuje panel ili distribucija, vrijedi njihov podatak. U oba slučaja ispravak se može isporučiti kao backport, a da se prikazani broj verzije ne promijeni. Zato provjerite napomene o promjenama isporučitelja paketa i po potrebi zatražite potvrdu stanja. Sam broj verzije nije dokaz.

Ponovno pokretanje: na što paziti kod LiteSpeeda

LiteSpeed PHP može pokretati u takozvanom Detached Modeu. Pritom lsphp procesi rade neovisno o web-poslužitelju kako bi web-stranice nakon ponovnog pokretanja web-poslužitelja brže odgovarale. Za sigurnosno ažuriranje to je zamka: web-poslužitelj je ponovno pokrenut, ali stari PHP procesi s ranjivim kodom ostaju aktivni.

# Ponovno pokrenite web-poslužitelj (putanja kao primjer)
/usr/local/lsws/bin/lswsctrl restart

# Zatim provjerite: jesu li svi lsphp procesi mlađi od ažuriranja?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Ako neki lsphp proces ima vrijeme pokretanja prije ažuriranja, ciljano ga zaustavite. LiteSpeed će pri sljedećem zahtjevu pokrenuti novi proces s ažuriranim kodom. Ovaj korak planirajte izvan vremena najvećeg opterećenja jer prvi zahtjev po web-stranici nakon toga može potrajati malo duže.

Privremene mjere dok zakrpa ne stigne

Ako za neku lsphp verziju još nije dostupan ispravljeni paket, php.net preporučuje privremene mjere. One ne pružaju potpunu zaštitu. Vrijednosti postavite u php.ini odgovarajuće lsphp verzije ili u konfiguraciji poslužitelja, a ne u .user.ini i ne putem ini_set().

; php.ini pogođene lsphp verzije (putanja ovisno o instalaciji)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

Uz funkciju uploada php.net navodi post_max_size = 32M, a upload_max_filesize ispod toga. Na PHP-u 8.5 dodaje se fatal_error_backtraces=0. Ograničenja memorije postavite putem cgroupa, na CloudLinuxu primjerice putem tamo predviđenih limita, a ne putem RLIMIT_AS ili RLIMIT_DATA. Nakon toga ponovno slijedi ponovno pokretanje svih lsphp procesa. Dodatne pojedinosti: Hitne mjere bez zakrpe. BSI (njemački Savezni ured za informacijsku sigurnost) preporučuje da se web-poslužitelj privremeno odvoji s mreže ako ažuriranje nije odmah moguće.

Nakon ažuriranja

Zakrpa zatvara ranjivost, ali ne uklanja već ubačen zlonamjerni softver i ne dokazuje da se prije nije ništa dogodilo. Sačuvajte zapisnike pristupa od 20. 10. 2026. i provjerite web-stranice zbog novih PHP datoteka u direktorijima za upload, stranih administratorskih računa i neuobičajenih odlaznih veza. Napomene o trajnom nadzoru nudi naš sigurnosni nadzor. Na cPanel poslužiteljima s LiteSpeedom dodatno se isplati pogledati cPanel i WHM.

Mnogi LiteSpeed poslužitelji rade pod hosting panelom poput cPanela, Plesk-a, DirectAdmina ili CyberPanela. Panel tada određuje iz kojeg izvora dolazi lsphp i kako se instaliraju ažuriranja. U tom slučaju ažuriranja provedite putem panela ili njegovih izvora paketa i ne instalirajte paralelno iz drugog izvora, jer inače postaje teško pratiti koja verzija stvarno radi. Zabilježite i koja web-stranica radi s kojom lsphp verzijom. Na poslužiteljima s mnogo korisničkih računa taj je popis temelj za ciljano obavještavanje vlasnika računa i za nasumične provjere nakon ažuriranja rade li web-stranice bez pogrešaka. Web-stranice koje zahtijevaju više nepodržanu PHP verziju treba voditi na zasebnom popisu jer za njih službeno ažuriranje neće stići.

Kako PHP SOS konkretno pomaže?

• Popisujemo sve lsphp verzije, izvore paketa i dodjele handlera na Vašem poslužitelju.
• Putem usluge PHP zakrpa ažuriramo, zaustavljamo sve stare lsphp procese i dokumentiramo dokaz.
• Gdje paket još nije dostupan, privremene vrijednosti postavljamo na razini cijelog poslužitelja i ograničavamo memoriju putem cgroupa.
• Web-stranice provjeravamo zbog tragova napada i osiguravamo zapisnike.

Česta pitanja

Izvori

• php.net: sigurnosne objave
• PHP 8 ChangeLog
• php.net: podržane verzije
• BSI