LiteSpeed Enterprise: un utente hosting può ottenere root su server condivisi

cPanel ha pubblicato il 14 settembre 2026 un advisory di sicurezza su una vulnerabilità critica in LiteSpeed Web Server Enterprise. La falla permette a un utente di sito web con privilegi limitati di ottenere accesso root su server di hosting condiviso, bypassando i controlli di isolamento come CageFS di CloudLinux. LiteSpeed ha rilasciato la versione 6.3.7 l'11 settembre, ma al 15 settembre la release precedente rimaneva indicata come stabile, rallentando la distribuzione della patch.

Il bypass di CageFS che svuota l'isolamento multi-tenant

L'advisory cPanel descrive la vulnerabilità come una privilege escalation critica con impatto specifico su ambienti shared hosting. In questa configurazione, ogni utente dovrebbe operare all'interno di una jail ambientale che impedisce l'accesso ai file di altri account e al sistema operativo sottostante. CageFS di CloudLinux rappresenta uno degli strumenti standard per questo isolamento.

Secondo la fonte, la falla consente di bypassare questi controlli. L'advisory cPanel afferma esplicitamente: «This issue can bypass expected account isolation controls, including CageFS, allowing a malicious website user to potentially escape its restricted environment and gain root-level access to the server». La compromissione di root espone non solo i dati dell'account attaccante, ma l'intera macchina: «access or alter other hosted websites and the server itself», come conferma la stessa fonte.

Il meccanismo tecnico esatto non è stato divulgato. The Hacker News riporta che «neither cPanel's advisory nor LiteSpeed's release notes describe how the flaw works». Questa scelta di silenzio operativo, comune in fasi iniziali di disclosure ma qui estesa anche all'assenza di CVE, impedisce alle organizzazioni di valutare il rischio con strumenti standardizzati e di integrare la minaccia nei propri workflow di vulnerability management.

La timeline che rallenta la risposta: 6.3.7 esiste ma non arriva automaticamente

LiteSpeed ha pubblicato la versione 6.3.7 l'11 settembre 2026. Il changelog menziona «Security improvements» generici, senza dettagli sulla natura della correzione. cPanel ha emesso il proprio advisory tre giorni dopo, il 14 settembre. Al 15 settembre, tuttavia, la pagina di download ufficiale di LiteSpeed indicava ancora la 6.3.6 come release stabile.

Questo disallineamento crea una finestra di esposizione strutturale: gli amministratori che si affidano ai canali di aggiornamento automatico o che verificano la disponibilità di patch sulla pagina ufficiale non ricevono segnalazione della necessità di aggiornare. Il comando per forzare la migrazione alla 6.3.7 è documentato nell'advisory: /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7. La fonte non specifica se esistano procedure alternative per sistemi che non possono eseguire l'aggiornamento immediato.

La mancanza di CVE e di CVSS complica ulteriormente la situazione. The Hacker News ha verificato i record CVE pubblicati il 15 settembre 2026 e non ha trovato corrispondenze per questa vulnerabilità. Senza identificatore standard, il tracking nei sistemi di gestione delle vulnerabilità, nelle dashboard dei fornitori di sicurezza e nei requisiti di compliance diventa manuale e frammentato.

"On shared-hosting servers, a malicious low-privilege website user could potentially gain root-level access to the server" — cPanel security advisory

Il contesto delle tre falla LiteSpeed in quattro mesi

Questa è la terza vulnerabilità LiteSpeed dal maggio 2026 che permette root su server cPanel. Le due precedenti, CVE-2026-48172 e CVE-2026-54420, riguardavano il plugin cPanel utente, non il web server Enterprise. Secondo il National Vulnerability Database, CVE-2026-48172 ha un punteggio CVSS 3.1 di 9.8 (critica), mentre CVE-2026-54420 è classificata 8.5 (alta).

La distinzione è tecnica rilevante: il plugin e il web server sono componenti diversi con superficie d'attacco e modelli di deployment separati. La falla attuale colpisce il core del web server, un software più diffuso e più profondamente integrato nell'infrastruttura di hosting. SecurityWeek ha documentato precedenti vulnerabilità nel plugin, ma quei CVE non sono applicabili a questa circostanza.

cPanel non ha menzionato se la falla sia stata sfruttata attivamente. L'advisory non fornisce indicatori di compromissione né linee guida per rilevare exploit passati. OpenLiteSpeed, l'edizione open source del software, non è citata nell'advisory; al 15 settembre 2026 non risultava aggiornamento rilasciato per questa versione.

Perché è importante

Il dossier non specifica il meccanismo tecnico della vulnerabilità, rendendo impossibile la valutazione indipendente della gravità o la costruzione di regole di rilevamento mirate. Non è documentato se le release candidate 6.4.0 siano affette, né se esistano condizioni di configurazione che mitighino il rischio senza aggiornamento completo.

La fonte non indica misure correttive specifiche per ambienti che dipendono da processi di change management estesi. La mancanza di CVE impedisce l'integrazione automatica nei feed di threat intelligence e nei sistemi di prioritizzazione delle patch. Non emergono sovrapposizioni infrastrutturali che colleghino questa falla alle vulnerabilità precedenti nel plugin cPanel.

Il modello di disclosure adottato da cPanel e LiteSpeed — advisory tecnico senza dettagli di exploit, senza CVE, con aggiornamento disponibile ma non promosso a stable — rappresenta una scelta di comunicazione che scarica sulle spalle dei provider di hosting la responsabilità di monitorare attivamente i canali non standard e di forzare aggiornamenti manuali.

Domande che restano senza risposta

La combinazione di gravità elevata, isolamento bypassabile e trasparenza ridotta costituisce un profilo di rischio che i provider di hosting condiviso devono gestire senza gli strumenti standard di classificazione e automazione. Fino alla completa diffusione della 6.3.7 e all'assegnazione di un identificatore CVE, la gestione della vulnerabilità resta un processo manuale, dipendente dalla vigilanza individuale piuttosto che dai flussi di sicurezza automatizzati.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Fonti

• https://thehackernews.com/2026/09/litespeed-enterprise-flaw-could-let-one.html
• https://www.rapid7.com/blog/post/etr-cve-2026-85706-critical-gitlab-path-traversal-exploited-in-the-wild
• https://unit42.paloaltonetworks.com/kubernetes-spiffe-spire-identity-spoofing/
• https://blog.netmanageit.com/litespeed-enterprise-flaw-could-let-one-hosting-account-gain-root-access-on-a-shared-server/
• https://www.securityweek.com/joomla-litespeed-vulnerabilities-exploited-in-attacks/
• https://www.cve.org/CVERecord?id=CVE-2026-85706
• https://support.cpanel.net/hc/en-us/articles/43483286674583-Security-LiteSpeed-Enterprise-security-advisory-September-14-2026
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-85706
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti