LiteSpeed un LSAPI: PHP atjaunināšana

Īsi: LiteSpeed PHP atjauninājums attiecas uz lsphp pakotnēm, ar kurām LiteSpeed izpilda PHP caur LSAPI. Pēc atjauninājuma jāpārstartējas visiem lsphp procesiem, un tieši tas LiteSpeed gadījumā ne vienmēr notiek automātiski kopā ar tīmekļa serveri. Pārbaudiet pakotnes stāvokli un procesa startēšanas laiku, pirms serveri atzīstat par ielāpotu.

LiteSpeed, LSAPI un lsphp īsi izskaidrots

LiteSpeed Web Server un tā brīvā versija OpenLiteSpeed PHP neizpilda kā moduli, bet ar savu saskarni, ko sauc LSAPI. PHP programmas tam sauc lsphp, un tās lielākoties nāk no atsevišķiem pakotņu avotiem, katrai versijai, piemēram, lsphp83 vai lsphp84. Paneļos, piemēram, cPanel, Plesk vai CyberPanel, papildus var būt iesaistītas paneļa paša PHP pakotnes.

PHP2Shell ietver ievainojamības CVE-2026-109618 un CVE-2026-109619 pašā PHP, abas novērtētas ar CVSS v4.0 9.2. PHP projekts LiteSpeed skaidri min starp skartajiem darbības režīmiem. Labotas ir versijas 8.5.12, 8.4.27, 8.3.36 un 8.2.35.

LiteSpeed PHP atjaunināšana: uzskaitiet esošo

Vispirms noskaidrojiet, kuras lsphp versijas ir instalētas un kuras no tām tiek lietotas. Turpmākās komandas tikai lasa. Ceļi un pakotņu nosaukumi ir piemēri un atkarīgi no instalācijas un distributīva.

# Instalētās lsphp versijas (tipisks ceļš)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Pakotņu stāvoklis (piemēri)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# Darbojošies lsphp procesi ar startēšanas laiku
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Salīdziniet sarakstu ar konfigurāciju: kurš virtuālais hosts izmanto kuru External App Handler? LiteSpeed saskarnē to atradīsiet sadaļā Server Configuration un virtuālo hostu iestatījumos. Versijas bez piesaistes tomēr vajadzētu atjaunināt vai noņemt.

Backporti un pakotņu avoti

Ja lsphp nāk no trešās puses avota, noteicošais ir tā pakotņu stāvoklis. Ja PHP piegādā panelis vai distributīvs, spēkā ir tā norāde. Abos gadījumos labojums var tikt piegādāts kā backports, nemainot parādīto versijas numuru. Tāpēc pārbaudiet pakotņu piegādātāja izmaiņu piezīmes un šaubu gadījumā lūdziet apstiprināt stāvokli. Versijas numurs vien nav pierādījums.

Pārstartēšana: uz ko jāpievērš uzmanība LiteSpeed gadījumā

LiteSpeed var darbināt PHP tā sauktajā Detached Mode. Tad lsphp procesi turpina darboties neatkarīgi no tīmekļa servera, lai vietnes pēc tīmekļa servera pārstartēšanas atbildētu ātrāk. Drošības atjauninājumam tā ir lamatas: tīmekļa serveris ir pārstartēts, bet veci PHP procesi ar ievainojamo kodu paliek aktīvi.

# Pārstartēt tīmekļa serveri (ceļš kā piemērs)
/usr/local/lsws/bin/lswsctrl restart

# Pēc tam pārbaudīt: vai visi lsphp procesi ir jaunāki par atjauninājumu?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Ja lsphp procesa startēšanas laiks ir pirms atjauninājuma, pārtrauciet to mērķtiecīgi. LiteSpeed nākamajā pieprasījumā startē jaunu procesu ar atjaunināto kodu. Šo soli plānojiet ārpus galvenā slodzes laika, jo pirmais pieprasījums katrai vietnei pēc tam var ilgt nedaudz ilgāk.

Pagaidu pasākumi, līdz ielāps ir pieejams

Ja lsphp versijai labotas pakotnes vēl nav, php.net iesaka pagaidu pasākumus. Tie nesniedz pilnīgu aizsardzību. Vērtības iestatiet attiecīgās lsphp versijas php.ini vai servera konfigurācijā, nevis .user.ini un nevis ar ini_set().

; attiecīgās lsphp versijas php.ini (ceļš atkarībā no instalācijas)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

Ja ir augšupielādes funkcija, php.net min post_max_size = 32M, un upload_max_filesize zem tā. PHP 8.5 gadījumā klāt nāk fatal_error_backtraces=0. Atmiņas ierobežojumus iestatiet ar cgroups, CloudLinux vidē, piemēram, ar tur paredzētajiem limitiem, nevis ar RLIMIT_AS vai RLIMIT_DATA. Pēc tam atkal seko visu lsphp procesu pārstartēšana. Papildu informācija: Tūlītēji pasākumi bez ielāpa. BSI iesaka tīmekļa serveri uz laiku atvienot no tīkla, ja atjauninājumu nevar ieviest nekavējoties.

Pēc atjauninājuma

Ielāps aizver ievainojamību, taču nenoņem jau ievadītu ļaunprātīgu programmatūru un nepierāda, ka iepriekš nekas nav noticis. Saglabājiet piekļuves žurnālus no 2026. gada 20. oktobra un pārbaudiet vietnes, vai nav jaunu PHP failu augšupielāžu direktorijos, svešu administratoru kontu un neparastu izejošu savienojumu. Norādes par pastāvīgu uzraudzību sniedz mūsu drošības monitorings. cPanel serveros ar LiteSpeed papildus ir vērts apskatīt cPanel un WHM.

Daudzi LiteSpeed serveri darbojas hostinga panelī, piemēram, cPanel, Plesk, DirectAdmin vai CyberPanel. Tad panelis nosaka, no kāda avota nāk lsphp un kā tiek ieinstalēti atjauninājumi. Šādā gadījumā atjauninājumus veiciet ar paneli vai tā pakotņu avotiem un neinstalējiet paralēli no otra avota, citādi kļūst grūti izsekot, kura versija patiešām darbojas. Fiksējiet arī, kura vietne darbojas ar kuru lsphp versiju. Serveros ar daudziem klientu kontiem šis saraksts ir pamats, lai mērķtiecīgi informētu kontu īpašniekus un pēc atjauninājuma izlases veidā pārbaudītu, vai vietnes darbojas bez kļūdām. Vietnes, kurām nepieciešama vairs neatbalstīta PHP versija, jāieraksta atsevišķā sarakstā, jo tām oficiāls atjauninājums nenāks.

Kā PHP SOS palīdz konkrēti?

• Mēs uzskaitām visas jūsu servera lsphp versijas, pakotņu avotus un handleru piesaistes.
• Ar PHP ielāpu pakalpojumu mēs atjauninām, beidzam visus vecos lsphp procesus un dokumentējam pierādījumu.
• Kur pakotnes vēl nav pieejamas, mēs pagaidu vērtības iestatām servera mērogā un ierobežojam atmiņu ar cgroup.
• Mēs pārbaudām vietnes, vai nav uzbrukuma pēdu, un saglabājam žurnālus.

Biežāk uzdotie jautājumi

Avoti

• php.net: drošības paziņojumi
• PHP 8 ChangeLog
• php.net: atbalstītās versijas
• BSI (Vācijas Federālā informācijas drošības birojs)