LiteSpeed Web Server Enterpriseにおいて、個々のクライアントアカウントとサーバーインフラ全体を隔てる境界が、驚くほど脆弱であることが判明しました。cPanelは最近、深刻な権限昇格の脆弱性について強い警告を発しています。共有ホスティング環境において、最小限の権限しか持たないウェブサイトユーザーであっても、無関係な多数のプロジェクトをホストするマシンをroot権限で完全に乗っ取れる可能性があるというものです。
共有ホスティング事業者への深刻な脅威
ホスティング事業者にとって、この事態は共有ホスティングというビジネスモデルの根幹を直撃する壊滅的な事態と言えます。共有ホスティングは仕組み上、1台のサーバーに複数の顧客のウェブサイトを収容しますが、各アカウントは本来、割り当てられた範囲内に厳格に閉じ込められていなければなりません。root権限の取得は、この重要な制限を根底から破壊してしまいます。攻撃者は隣接するウェブサイトのファイルを読み取ったり、悪意を持って改ざんしたりできるようになるほか、機密データを窃取し、サーバー自体の基盤設定を完全に操作することも可能になります。
この高度な脆弱性は、CloudLinuxで採用されている堅牢なCageFSシステムを含む、既存の分離機構を回避できる恐ろしい能力を備えています。CageFSは通常、各クライアントに対して制限付きの個別のファイルシステムビューを生成し、他のアカウントの内容や重要なシステムファイルを注意深く隠蔽します。しかし今回のケースでは、悪意あるユーザーがこの隔離環境から抜け出し、システム上の最大権限まで昇格させることに成功してしまいます。
影響を受けるバージョンと伏せられた技術的詳細
バージョン6.3.7より前のLiteSpeed Web Server Enterpriseのすべてのバージョンが、この深刻な脅威にさらされています。同社は9月11日にLiteSpeed Web Server v6.3.7をリリースし、セキュリティに関わる3つの修正内容を明示しました。具体的には、lscgidリクエストの検証強化、内部リダイレクトに対するより厳格な検証プロトコルの実装、そして.htaccessファイルを介した重要なサービス環境変数の操作を明示的に禁止した点が挙げられます。しかし同社は、これらの変更のうちどれが実際に今回の深刻な侵害を塞いだのかについては、あえて明言を避けています。
現時点では、悪用手法の詳細な技術情報は公開されていません。この新たに判明した問題にはまだ正式なCVE番号が割り当てられておらず、そのため公式なCVSSスコアも算定されていません。さらに、cPanelが公開したLiteSpeed Enterpriseのセキュリティアドバイザリによれば、両社とも実際の悪用が野放しで確認された事例は報告していません。また、実用的な侵害の痕跡(IoC)の公開や、サーバー全体を更新せずに脆弱な経路を保護するための暫定的な緩和策の提示も行っていません。
対処方法とこれまでの経緯
セキュリティ専門家は管理者に対し、直ちにインフラをLiteSpeed Web Server Enterpriseバージョン6.3.7以降にアップグレードするよう強く勧告しています。強制的なインストールを行うため、cPanelは具体的なコマンドとして/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7を提示しています。LiteSpeedは、正式リリースの公開時点と自動アップデートが広く行き渡るまでの間にタイムラグが生じる可能性があると管理者に警告しており、そのため手動でのインストールがより早い段階で必要になる場合があります。
LiteSpeedにとって、これほど深刻なセキュリティインシデントに見舞われるのは2026年に入って初めてのことではありません。ただし、これまでの脆弱性はウェブサーバーの中核アーキテクチャではなく、cPanel向けに設計された特定のユーザープラグイン内に存在していました。5月には、悪意ある攻撃者がその脆弱性の一つを積極的に悪用し、共有ホスティング環境を組織的に攻撃しました。攻撃者たちは、通常のcPanelアカウント、あるいはすでに侵害されていたcPanelアカウントを、システム上の最大権限を獲得するための足がかりへと巧みに変えてしまったのです。
その5月の壊滅的なインシデントにはCVE-2026-48172という識別子が付与され、CVSS 4.0スケールで最大値である恐ろしい10.0のスコアが記録されました。この欠陥により、任意のcPanelユーザーがlsws.redisAble関数を通じてroot権限で任意のスクリプトを実行できる状態になっていました。当時LiteSpeedは実際の攻撃における悪用を直接確認しており、この脆弱性はその後、CISAの既知の悪用済み脆弱性(KEV)カタログにも登録されています。
今回新たに発見された脆弱性は、その構造的な影響という点でこれまでとは一線を画しています。cPanelは今回の問題について、コントロールパネルのユーザープラグインとは明確に切り離し、LiteSpeed Web Server Enterpriseのコア部分に直接存在するものだと明言しています。この深刻な警告は、商用版であるEnterpriseエディションに特化して当てはまるものです。本記事の公開時点で、オープンソース版であるOpenLiteSpeedについては対応する通知は出されていません。
開発元が悪用の正確な仕組みを透明性を持って開示するまでは、攻撃を成功させるために正確にどのような条件が必要となるのかを見極めることはできません。確認されている前提条件は、共有サーバー上に低権限のウェブサイトユーザーが存在することと、隔離プロトコルを完全に回避してroot権限にまで到達できる恐るべき能力の2点のみです。したがって、唯一かつ最も重要な防御策は、バージョン6.3.7未満のすべてのEnterprise環境を直ちに更新し、インストール後に稼働バージョンを厳格に確認することに尽きます。
翻訳元: https://meterpreter.org/litespeed-web-server-privilege-escalation/
