LiteSpeed in LSAPI: posodobitev PHP

Na kratko: Posodobitev PHP v LiteSpeedu zadeva pakete lsphp, prek katerih LiteSpeed izvaja PHP po LSAPI. Po posodobitvi je treba znova zagnati vse procese lsphp, pri LiteSpeedu pa se to ne zgodi vedno samodejno s spletnim strežnikom. Preverite stanje paketov in čas zagona procesov, preden strežnik označite kot popravljen.

LiteSpeed, LSAPI in lsphp na kratko

LiteSpeed Web Server in prosta različica OpenLiteSpeed PHP ne izvajata kot modul, temveč prek lastnega vmesnika LSAPI. Programi PHP za to se imenujejo lsphp in večinoma izvirajo iz lastnih virov paketov, za vsako različico na primer lsphp83 ali lsphp84. V upravljalnih ploščah, kot so cPanel, Plesk ali CyberPanel, so lahko v igri še paketi PHP same plošče.

PHP2Shell obsega ranljivosti CVE-2026-109618 in CVE-2026-109619 v samem PHP, vsaka po CVSS v4.0 ocenjena z 9,2. Projekt PHP LiteSpeed izrecno navaja med prizadetimi načini delovanja. Odpravljene so različice 8.5.12, 8.4.27, 8.3.36 in 8.2.35.

Posodobitev PHP v LiteSpeedu: popišite stanje

Najprej ugotovite, katere različice lsphp so nameščene in katere od njih so v uporabi. Spodnji ukazi samo berejo. Poti in imena paketov so primeri in so odvisni od namestitve ter distribucije.

# Nameščene različice lsphp (tipična pot)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Stanje paketov (primeri)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# Delujoči procesi lsphp s časom zagona
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Seznam primerjajte s konfiguracijo: kateri virtualni gostitelj uporablja kateri External App Handler? V vmesniku LiteSpeed to najdete pod Server Configuration in v nastavitvah virtualnih gostiteljev. Različice brez dodelitve vseeno posodobite ali odstranite.

Upoštevajte backporte in vire paketov

Če lsphp prihaja iz tujega vira, odloča njegovo stanje paketov. Če PHP dostavlja plošča ali distribucija, velja njuna navedba. V obeh primerih se lahko popravek dostavi kot backport, ne da bi se prikazana številka različice spremenila. Zato preverite opombe o spremembah ponudnika paketov in si v dvomu stanje dajte potrditi. Številka različice sama ni dokaz.

Ponovni zagon: kaj šteje pri LiteSpeedu

LiteSpeed lahko PHP poganja v t. i. načinu Detached Mode. Pri tem procesi lsphp tečejo neodvisno od spletnega strežnika, da spletne strani po ponovnem zagonu spletnega strežnika hitreje odgovarjajo. Za varnostno posodobitev je to past: spletni strežnik je znova zagnan, stari procesi PHP z ranljivo kodo pa ostanejo aktivni.

# Znova zaženite spletni strežnik (pot kot primer)
/usr/local/lsws/bin/lswsctrl restart

# Nato preverite: so vsi procesi lsphp mlajši od posodobitve?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Če proces lsphp kaže čas zagona pred posodobitvijo, ga ciljno končajte. LiteSpeed ob naslednji zahtevi zažene nov proces s posodobljeno kodo. Ta korak načrtujte zunaj časa največje obremenitve, saj lahko prva zahteva za vsako spletno stran potem traja nekoliko dlje.

Vmesni ukrepi do popravka

Če za različico lsphp odpravljen paket še ni na voljo, php.net priporoča vmesne ukrepe. Ne nudijo popolne zaščite. Vrednosti nastavite v php.ini posamezne različice lsphp ali v konfiguraciji strežnika, ne v .user.ini in ne prek ini_set().

; php.ini prizadete različice lsphp (pot glede na namestitev)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

S funkcijo nalaganja datotek php.net navaja post_max_size = 32M, upload_max_filesize pa pod tem. Pri PHP 8.5 se doda fatal_error_backtraces=0. Omejitve pomnilnika nastavite prek cgroups, na CloudLinuxu na primer prek tam predvidenih omejitev, ne prek RLIMIT_AS ali RLIMIT_DATA. Nato spet sledi ponovni zagon vseh procesov lsphp. Več podrobnosti: Takojšnji ukrepi brez popravka. BSI priporoča, da spletni strežnik začasno odklopite z omrežja, če posodobitev ni takoj mogoča.

Po posodobitvi

Popravek ranljivost zapre, vendar ne odstrani že vnesene škodljive programske opreme in ne dokazuje, da se prej ni zgodilo nič. Dnevnike dostopov hranite od 20. 10. 2026 naprej ter spletne strani preverite glede novih datotek PHP v imenikih za nalaganje, tujih skrbniških računov in nenavadnih odhodnih povezav. Napotke za tekoči nadzor ponuja naš varnostni nadzor. Na strežnikih cPanel z LiteSpeedom se splača dodatno pogledati stran cPanel in WHM.

Mnogi strežniki LiteSpeed tečejo pod gostiteljsko ploščo, kot so cPanel, Plesk, DirectAdmin ali CyberPanel. Plošča takrat določa, iz katerega vira prihaja lsphp in kako se nameščajo posodobitve. V tem primeru posodobitve izvedite prek plošče ali njenih virov paketov in vzporedno ne nameščajte iz drugega vira, sicer je težko ugotoviti, katera izdaja dejansko teče. Zapišite tudi, katera spletna stran deluje s katero različico lsphp. Na strežnikih z mnogo strankinimi računi je ta seznam podlaga, da ciljno obvestite imetnike računov in po posodobitvi vzorčno preverite, ali spletne strani delujejo brez napak. Spletne strani, ki zahtevajo nepodprto različico PHP, sodijo na lasten seznam, ker zanje uradne posodobitve ne bo.

Kako PHP SOS konkretno pomaga?

• Popišemo vse različice lsphp, vire paketov in dodelitve handlerjev na vašem strežniku.
• Prek storitve popravljanja PHP posodobimo, končamo vse stare procese lsphp in dokumentiramo dokaz.
• Kjer paketa še ni, vmesne vrednosti nastavimo strežniško in pomnilnik omejimo prek cgroup.
• Spletne strani preverimo glede sledi napada in zavarujemo dnevnike.

Pogosta vprašanja

Viri

• php.net: varnostna obvestila
• PHP 8 ChangeLog
• php.net: podprte različice
• BSI (nemški zvezni urad za informacijsko varnost)