LiteSpeed en LSAPI: PHP bijwerken

Kort gezegd: Een LiteSpeed PHP-update betreft de lsphp-pakketten waarmee LiteSpeed PHP via LSAPI uitvoert. Na de update moeten alle lsphp-processen herstarten, en juist dat gebeurt bij LiteSpeed niet altijd automatisch met de webserver. Controleer pakketstatus en starttijd van processen voordat u de server als gepatcht beschouwt.

LiteSpeed, LSAPI en lsphp kort uitgelegd

LiteSpeed Web Server en de gratis variant OpenLiteSpeed voeren PHP niet als module uit, maar via een eigen interface met de naam LSAPI. De PHP-programma's daarvoor heten lsphp en komen meestal uit eigen pakketbronnen, per versie bijvoorbeeld lsphp83 of lsphp84. Op panelen zoals cPanel, Plesk of CyberPanel kunnen daarnaast paneleigen PHP-pakketten meespelen.

PHP2Shell omvat de kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 in PHP zelf, elk beoordeeld met CVSS v4.0 9.2. Het PHP-project noemt LiteSpeed uitdrukkelijk onder de getroffen uitvoeringsmodi. Verholpen zijn de versies 8.5.12, 8.4.27, 8.3.36 en 8.2.35.

LiteSpeed PHP-update: inventaris opmaken

Zoek eerst uit welke lsphp-versies zijn geïnstalleerd en welke daarvan in gebruik zijn. De volgende opdrachten lezen alleen. Paden en pakketnamen zijn voorbeelden en hangen af van installatie en distributie.

# Geïnstalleerde lsphp-versies (typisch pad)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Pakketstatus (voorbeelden)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# Lopende lsphp-processen met starttijd
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Vergelijk de lijst met de configuratie: welke virtuele host gebruikt welke External App Handler? In de LiteSpeed-interface vindt u dat onder Server Configuration en de instellingen van de virtuele hosts. Versies zonder toewijzing moet u toch bijwerken of verwijderen.

Backports en pakketbronnen in acht nemen

Komt lsphp uit een externe bron, dan beslist de pakketstatus daarvan. Levert een paneel of een distributie PHP, dan geldt hun opgave. In beide gevallen kan een correctie als backport worden geleverd zonder dat het getoonde versienummer wijzigt. Controleer daarom de wijzigingsaanwijzingen van de pakketaanbieder en laat u de status in geval van twijfel bevestigen. Het versienummer alleen is geen bewijs.

Herstart: waar het bij LiteSpeed op aankomt

LiteSpeed kan PHP draaien in de zogeheten Detached Mode. Daarbij lopen lsphp-processen los van de webserver door, zodat websites na een herstart van de webserver sneller antwoorden. Voor een beveiligingsupdate is dat een valkuil: de webserver is herstart, maar oude PHP-processen met de kwetsbare code blijven actief.

# Webserver herstarten (pad als voorbeeld)
/usr/local/lsws/bin/lswsctrl restart

# Daarna controleren: zijn alle lsphp-processen jonger dan de update?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep

Toont een lsphp-proces een starttijd vóór de update, beëindig het dan gericht. LiteSpeed start bij het volgende verzoek een nieuw proces met de bijgewerkte code. Plan deze stap buiten de piekbelasting, want het eerste verzoek per website kan daarna wat langer duren.

Overbruggingsmaatregelen tot de patch er is

Is er voor een lsphp-versie nog geen gecorrigeerd pakket beschikbaar, dan adviseert php.net overbruggingsmaatregelen. Ze bieden geen volledige bescherming. Stel de waarden in de php.ini van de betreffende lsphp-versie of in de serverconfiguratie in, niet in .user.ini en niet via ini_set().

; php.ini van de getroffen lsphp-versie (pad per installatie)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

Met uploadfunctie noemt php.net post_max_size = 32M, met upload_max_filesize daaronder. Op PHP 8.5 komt fatal_error_backtraces=0 erbij. Geheugengrenzen stelt u in via cgroups, op CloudLinux bijvoorbeeld via de daarvoor bedoelde limieten, niet via RLIMIT_AS of RLIMIT_DATA. Daarna volgt opnieuw de herstart van alle lsphp-processen. Meer details: Directe maatregelen zonder patch. Het BSI (de Duitse federale dienst voor informatiebeveiliging) adviseert een webserver tijdelijk van het net te halen als de update niet meteen mogelijk is.

Na de update

Een patch sluit de kwetsbaarheid, maar verwijdert geen reeds ingebrachte schadelijke software en bewijst niet dat er daarvoor niets is gebeurd. Bewaar de toegangslogs vanaf 20-10-2026 en controleer de websites op nieuwe PHP-bestanden in uploadmappen, vreemde beheerdersaccounts en ongebruikelijke uitgaande verbindingen. Aanwijzingen voor de doorlopende bewaking biedt onze security monitoring. Op cPanel-servers met LiteSpeed loont bovendien een blik op cPanel en WHM.

Veel LiteSpeed-servers draaien onder een hostingpaneel zoals cPanel, Plesk, DirectAdmin of CyberPanel. Het paneel bepaalt dan uit welke bron lsphp komt en hoe updates worden doorgevoerd. Voer updates in dat geval uit via het paneel of de pakketbronnen daarvan en installeer niet parallel uit een tweede bron, anders wordt moeilijk na te gaan welke versie er daadwerkelijk draait. Leg bovendien vast welke website met welke lsphp-versie draait. Op servers met veel klantaccounts is deze lijst de basis om accounthouders gericht te informeren en na de update steekproefsgewijs te controleren of de websites foutloos draaien. Websites die een niet meer ondersteunde PHP-versie vereisen, horen op een eigen lijst, omdat er voor hen geen officiële update komt.

Hoe helpt PHP SOS concreet?

• Wij inventariseren alle lsphp-versies, pakketbronnen en handlertoewijzingen van uw server.
• Via de PHP-patchservice werken we bij, beëindigen we alle oude lsphp-processen en documenteren we het bewijs.
• Waar nog geen pakket klaarstaat, stellen we de overbruggingswaarden serverbreed in en beperken we het geheugen via cgroup.
• Wij controleren de websites op sporen van een aanval en leggen de logs vast.

Veelgestelde vragen

Bronnen

• php.net: beveiligingsmeldingen
• PHP 8 ChangeLog
• php.net: ondersteunde versies
• BSI