Em resumo: uma atualização PHP no LiteSpeed diz respeito aos pacotes lsphp, através dos quais o LiteSpeed executa o PHP por LSAPI. Depois da atualização, todos os processos lsphp têm de reiniciar, e é precisamente isso que no LiteSpeed nem sempre acontece automaticamente com o servidor web. Verifique o nível dos pacotes e a hora de arranque dos processos antes de classificar o servidor como com patch.
LiteSpeed, LSAPI e lsphp em breves palavras
O LiteSpeed Web Server e a variante gratuita OpenLiteSpeed não executam o PHP como módulo, mas através de uma interface própria chamada LSAPI. Os programas PHP para isso chamam-se lsphp e provêm muitas vezes de origens de pacotes próprias, por versão, por exemplo lsphp83 ou lsphp84. Em painéis como o cPanel, o Plesk ou o CyberPanel, podem estar ainda em jogo pacotes PHP próprios do painel.
O PHP2Shell engloba as vulnerabilidades CVE-2026-109618 e CVE-2026-109619 no próprio PHP, cada uma com a pontuação CVSS v4.0 9.2. O projeto PHP indica expressamente o LiteSpeed entre os modos de operação afetados. Estão corrigidas as versões 8.5.12, 8.4.27, 8.3.36 e 8.2.35.
Atualização PHP no LiteSpeed: levantar o inventário
Descubra primeiro que versões lsphp estão instaladas e quais delas estão em uso. Os comandos seguintes apenas leem. Caminhos e nomes de pacotes são exemplos e dependem da instalação e da distribuição.
# Versões lsphp instaladas (caminho típico)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done
# Nível dos pacotes (exemplos)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'
# Processos lsphp em execução com hora de arranque
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
Compare a lista com a configuração: que virtual host usa que External App Handler? Na interface do LiteSpeed encontra isso em Server Configuration e nas definições dos virtual hosts. As versões sem atribuição deve atualizá-las ou removê-las de qualquer modo.
Ter em conta os backports e as origens de pacotes
Se o lsphp vier de uma origem externa, decide o nível de pacotes dessa origem. Se um painel ou uma distribuição fornecer o PHP, vale a indicação deles. Em ambos os casos, uma correção pode ser entregue como backport sem que o número de versão mostrado mude. Verifique por isso as notas de alterações do fornecedor do pacote e, em caso de dúvida, peça que lhe confirmem o nível. O número de versão, por si só, não é comprovativo.
Reinício: o que importa no LiteSpeed
O LiteSpeed pode operar o PHP no chamado Detached Mode. Nele, os processos lsphp continuam a correr independentemente do servidor web, para que os sites respondam mais depressa depois de um reinício do servidor web. Para uma atualização de segurança, isso é uma armadilha: o servidor web foi reiniciado, mas processos PHP antigos com o código vulnerável continuam ativos.
# Reiniciar o servidor web (caminho como exemplo)
/usr/local/lsws/bin/lswsctrl restart
# Depois verificar: todos os processos lsphp são mais recentes do que a atualização?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
Se um processo lsphp mostrar uma hora de arranque anterior à atualização, termine-o de forma dirigida. O LiteSpeed inicia, no pedido seguinte, um novo processo com o código atualizado. Planeie este passo fora das horas de maior carga, porque o primeiro pedido de cada site pode demorar um pouco mais depois disso.
Depois da atualização do PHP, um servidor só tem patch quando nenhum processo lsphp é mais antigo do que a atualização. Registe a verificação com data e hora.
Medidas provisórias até haver patch
Se ainda não houver um pacote corrigido para uma versão lsphp, o php.net recomenda medidas provisórias. Não oferecem proteção completa. Defina os valores no php.ini da respetiva versão lsphp ou na configuração do servidor, não no .user.ini nem através de ini_set().
; php.ini da versão lsphp afetada (caminho conforme a instalação)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M
Com função de upload, o php.net indica post_max_size = 32M, com upload_max_filesize abaixo disso. No PHP 8.5 acresce fatal_error_backtraces=0. Os limites de memória defina-os através de cgroups, no CloudLinux por exemplo através dos limites aí previstos, e não através de RLIMIT_AS ou RLIMIT_DATA. Depois, volta a ser necessário reiniciar todos os processos lsphp. Mais pormenores: Medidas imediatas sem patch. O BSI (Gabinete Federal Alemão para a Segurança da Informação) recomenda retirar temporariamente um servidor web da rede quando a atualização não for possível de imediato.
Depois da atualização
Um patch fecha a vulnerabilidade, mas não remove software malicioso já introduzido e não prova que antes não aconteceu nada. Guarde os registos de acesso a partir de 20/10/2026 e verifique nos sites a presença de novos ficheiros PHP nos diretórios de upload, contas de administrador estranhas e ligações de saída invulgares. Indicações sobre a monitorização contínua são dadas pela nossa monitorização de segurança. Em servidores cPanel com LiteSpeed, compensa ainda olhar para cPanel e WHM.
Muitos servidores LiteSpeed correm sob um painel de alojamento como o cPanel, o Plesk, o DirectAdmin ou o CyberPanel. O painel determina então de que origem vem o lsphp e como se instalam as atualizações. Neste caso, faça as atualizações através do painel ou das suas origens de pacotes e não instale em paralelo a partir de uma segunda origem, senão torna-se difícil perceber que versão está realmente a correr. Registe também que site funciona com que versão lsphp. Em servidores com muitas contas de clientes, esta lista é a base para informar os titulares das contas de forma dirigida e para verificar por amostragem, depois da atualização, se os sites funcionam sem erros. Os sites que exigem uma versão PHP já não suportada devem ficar numa lista própria, porque para eles não virá nenhuma atualização oficial.
Como ajuda concretamente a PHP SOS?
- Levantamos todas as versões lsphp, origens de pacotes e atribuições de handlers do seu servidor.
- Através do serviço de patches PHP, atualizamos, terminamos todos os processos lsphp antigos e documentamos o comprovativo.
- Onde ainda não existe pacote, definimos os valores provisórios em todo o servidor e limitamos a memória por cgroup.
- Verificamos os sites quanto a vestígios de um ataque e preservamos os registos.
Perguntas frequentes
O LiteSpeed está afetado pelo PHP2Shell?
Sim. Segundo o projeto PHP, o LiteSpeed está entre os modos de operação afetados. As vulnerabilidades estão no próprio PHP, que o LiteSpeed executa através de LSAPI. Conta por isso o nível dos pacotes lsphp.
Porque é que depois da atualização ainda correm processos lsphp antigos?
O LiteSpeed pode manter os processos PHP em execução independentemente do servidor web, para poupar tempos de carregamento. Reiniciar o servidor web não os termina de imediato, consoante o modo de operação. Verifique por isso a hora de arranque de todos os processos lsphp.
Isto aplica-se também ao OpenLiteSpeed?
Em princípio, sim. O OpenLiteSpeed também usa lsphp através de LSAPI. Caminhos, origens de pacotes e interface de administração diferem, mas o princípio de atualizar, reiniciar e verificar mantém-se.
A cache do LiteSpeed ajuda contra a vulnerabilidade?
Não. Uma cache de páginas entrega algumas páginas sem PHP, mas os pedidos que chegam ao PHP continuam vulneráveis. Uma cache não substitui a atualização do PHP.