LiteSpeed a LSAPI: aktualizácia PHP

Stručne: Aktualizácia PHP v LiteSpeed sa týka balíkov lsphp, cez ktoré LiteSpeed vykonáva PHP prostredníctvom LSAPI. Po aktualizácii sa musia reštartovať všetky procesy lsphp a práve to sa pri LiteSpeed nie vždy deje automaticky s webovým serverom. Skôr než server zaradíte medzi zaplátané, skontrolujte stav balíkov a čas spustenia procesov.

LiteSpeed, LSAPI a lsphp stručne vysvetlené

LiteSpeed Web Server a slobodný variant OpenLiteSpeed nevykonávajú PHP ako modul, ale cez vlastné rozhranie LSAPI. Programy PHP pre to sa volajú lsphp a väčšinou pochádzajú z vlastných zdrojov balíkov, pre každú verziu napríklad lsphp83 alebo lsphp84. Na paneloch ako cPanel, Plesk alebo CyberPanel môžu navyše figurovať balíky PHP patriace samotnému panelu.

PHP2Shell zahŕňa zraniteľnosti CVE-2026-109618 a CVE-2026-109619 v samotnom PHP, každá s hodnotením CVSS v4.0 9.2. Projekt PHP uvádza LiteSpeed výslovne medzi dotknutými režimami prevádzky. Opravené sú verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

Aktualizácia PHP v LiteSpeed: zistite stav

Najprv zistite, aké verzie lsphp sú nainštalované a ktoré z nich sa používajú. Nasledujúce príkazy iba čítajú. Cesty a názvy balíkov sú príklady a závisia od inštalácie a distribúcie.

# Nainštalované verzie lsphp (typická cesta)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Stav balíkov (príklady)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# Bežiace procesy lsphp s časom spustenia
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Zoznam porovnajte s konfiguráciou: Ktorý virtuálny hostiteľ používa ktorý External App Handler? V rozhraní LiteSpeed to nájdete pod Server Configuration a v nastaveniach virtuálnych hostiteľov. Verzie bez priradenia by ste aj tak mali aktualizovať alebo odstrániť.

Dbajte na backporty a zdroje balíkov

Ak lsphp pochádza z cudzieho zdroja, rozhoduje jeho stav balíkov. Ak PHP dodáva panel alebo distribúcia, platí ich údaj. V oboch prípadoch sa môže oprava dodať ako backport bez zmeny zobrazeného čísla verzie. Skontrolujte preto poznámky k zmenám od dodávateľa balíka a pri pochybnostiach si stav nechajte potvrdiť. Samotné číslo verzie nie je dôkazom.

Reštart: na čom pri LiteSpeed záleží

LiteSpeed môže prevádzkovať PHP v takzvanom Detached Mode. Procesy lsphp pritom bežia nezávisle od webového servera, aby weby po reštarte webového servera odpovedali rýchlejšie. Pre bezpečnostnú aktualizáciu je to pasca: webový server je reštartovaný, ale staré procesy PHP so zraniteľným kódom zostávajú aktívne.

# Reštart webového servera (cesta ako príklad)
/usr/local/lsws/bin/lswsctrl restart

# Potom skontrolujte: Sú všetky procesy lsphp mladšie než aktualizácia?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Ak proces lsphp ukazuje čas spustenia pred aktualizáciou, cielene ho ukončite. LiteSpeed pri ďalšom požiadavku spustí nový proces s aktualizovaným kódom. Tento krok naplánujte mimo hlavného zaťaženia, pretože prvý požiadavok pre každý web môže potom trvať o niečo dlhšie.

Prechodné opatrenia, kým záplata nie je k dispozícii

Ak pre verziu lsphp ešte nie je dostupný opravený balík, php.net odporúča prechodné opatrenia. Neposkytujú úplnú ochranu. Hodnoty nastavte v php.ini príslušnej verzie lsphp alebo v konfigurácii servera, nie v .user.ini a nie cez ini_set().

; php.ini dotknutej verzie lsphp (cesta podľa inštalácie)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

S funkciou nahrávania php.net uvádza post_max_size = 32M, pričom upload_max_filesize je nižšie. Pri PHP 8.5 pribúda fatal_error_backtraces=0. Obmedzenia pamäte nastavte cez cgroups, na CloudLinux napríklad cez tam určené limity, nie cez RLIMIT_AS alebo RLIMIT_DATA. Potom opäť nasleduje reštart všetkých procesov lsphp. Ďalšie podrobnosti: Okamžité opatrenia bez záplaty. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webový server dočasne odpojiť od siete, ak aktualizácia nie je možná okamžite.

Po aktualizácii

Záplata uzavrie zraniteľnosť, ale neodstráni už zavlečený škodlivý softvér a nedokazuje, že sa predtým nič nestalo. Uchovajte prístupové protokoly od 20. 10. 2026 a skontrolujte weby na nové súbory PHP v adresároch na nahrávanie, cudzie účty administrátorov a nezvyčajné odchádzajúce spojenia. Upozornenia na priebežné monitorovanie ponúka náš bezpečnostný monitoring. Na serveroch cPanel s LiteSpeed sa oplatí pozrieť aj na cPanel a WHM.

Mnohé servery LiteSpeed bežia pod hostingovým panelom, ako je cPanel, Plesk, DirectAdmin alebo CyberPanel. Panel potom určuje, z akého zdroja lsphp pochádza a ako sa nasadzujú aktualizácie. Aktualizácie v takom prípade vykonávajte cez panel alebo jeho zdroje balíkov a neinštalujte paralelne z druhého zdroja, inak je ťažké dohľadať, ktorá verzia skutočne beží. Zaznamenajte si aj to, ktorý web beží s ktorou verziou lsphp. Na serveroch s mnohými zákazníckymi účtami je tento zoznam základom na cielené informovanie majiteľov účtov a na namatkovú kontrolu po aktualizácii, či weby fungujú bez chýb. Weby, ktoré vyžadujú už nepodporovanú verziu PHP, patria na osobitný zoznam, pretože pre ne oficiálna aktualizácia nevyjde.

Ako konkrétne pomáha PHP SOS?

• Zaznamenáme všetky verzie lsphp, zdroje balíkov a priradenia handlerov vášho servera.
• Cez službu záplatovania PHP aktualizujeme, ukončíme všetky staré procesy lsphp a zdokumentujeme dôkaz.
• Kde balík ešte nie je pripravený, nastavíme prechodné hodnoty celoserverovo a obmedzíme pamäť cez cgroup.
• Weby skontrolujeme na stopy útoku a zabezpečíme logy.

Časté otázky

Zdroje

• php.net: bezpečnostné hlásenia
• PHP 8 ChangeLog
• php.net: podporované verzie
• BSI