# LiteSpeed und LSAPI: PHP aktualisieren

> LiteSpeed PHP-Update nach PHP2Shell: lsphp-Pakete prüfen, alle LSAPI-Prozesse neu starten, Übergangswerte setzen und den Patch-Stand sauber dokumentieren.

Quelle: https://phpsos.de/server/litespeed/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** Ein LiteSpeed PHP-Update betrifft die lsphp-Pakete, über die LiteSpeed PHP per LSAPI ausführt. Nach dem Update müssen alle lsphp-Prozesse neu starten, und genau das passiert bei LiteSpeed nicht immer automatisch mit dem Webserver. Prüfen Sie Paketstand und Prozess-Startzeit, bevor Sie den Server als gepatcht einstufen.

## LiteSpeed, LSAPI und lsphp kurz erklärt

LiteSpeed Web Server und die freie Variante OpenLiteSpeed führen PHP nicht als Modul aus, sondern über eine eigene Schnittstelle namens LSAPI. Die PHP-Programme dafür heißen lsphp und kommen meist aus eigenen Paketquellen, je Version etwa `lsphp83` oder `lsphp84`. Auf Panels wie cPanel, Plesk oder CyberPanel können zusätzlich panel-eigene PHP-Pakete im Spiel sein.

PHP2Shell umfasst die Lücken CVE-2026-109618 und CVE-2026-109619 in PHP selbst, jeweils mit CVSS v4.0 9.2 bewertet. Das PHP-Projekt führt LiteSpeed ausdrücklich unter den betroffenen Betriebsarten. Behoben sind die Versionen 8.5.12, 8.4.27, 8.3.36 und 8.2.35.

## LiteSpeed PHP-Update: Bestand erfassen

Finden Sie zuerst heraus, welche lsphp-Versionen installiert sind und welche davon in Gebrauch sind. Die folgenden Befehle lesen nur. Pfade und Paketnamen sind Beispiele und hängen von Installation und Distribution ab.

```bash
# Installierte lsphp-Versionen (typischer Pfad)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Paketstand (Beispiele)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# Laufende lsphp-Prozesse mit Startzeit
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
```

Gleichen Sie die Liste mit der Konfiguration ab: Welcher virtuelle Host nutzt welchen External App Handler? In der LiteSpeed-Oberfläche finden Sie das unter Server Configuration und den Einstellungen der virtuellen Hosts. Versionen ohne Zuordnung sollten Sie trotzdem aktualisieren oder entfernen.

## Backports und Paketquellen beachten

Kommt lsphp aus einer Fremdquelle, entscheidet deren Paketstand. Liefert ein Panel oder eine Distribution PHP, gilt deren Angabe. In beiden Fällen kann eine Korrektur als Backport ausgeliefert werden, ohne dass sich die angezeigte Versionsnummer ändert. Prüfen Sie daher die Änderungshinweise des Paketanbieters und lassen Sie sich den Stand im Zweifel bestätigen. Die Versionsnummer allein ist kein Nachweis.

## Neustart: Worauf es bei LiteSpeed ankommt

LiteSpeed kann PHP im sogenannten Detached Mode betreiben. Dabei laufen lsphp-Prozesse unabhängig vom Webserver weiter, damit Websites nach einem Webserver-Neustart schneller antworten. Für ein Sicherheitsupdate ist das ein Fallstrick: Der Webserver ist neu gestartet, aber alte PHP-Prozesse mit dem verwundbaren Code bleiben aktiv.

```bash
# Webserver neu starten (Pfad als Beispiel)
/usr/local/lsws/bin/lswsctrl restart

# Danach kontrollieren: Sind alle lsphp-Prozesse jünger als das Update?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
```

Zeigt ein lsphp-Prozess eine Startzeit vor dem Update, beenden Sie ihn gezielt. LiteSpeed startet bei der nächsten Anfrage einen neuen Prozess mit dem aktualisierten Code. Planen Sie diesen Schritt außerhalb der Hauptlastzeiten, denn die erste Anfrage je Website kann danach etwas länger dauern.

> **Wichtig:**
> Nach dem PHP-Update ist ein Server erst dann gepatcht, wenn kein lsphp-Prozess älter ist als das Update. Halten Sie die Kontrolle mit Datum und Uhrzeit fest.

## Übergangsmaßnahmen, bis der Patch da ist

Ist für eine lsphp-Version noch kein behobenes Paket verfügbar, empfiehlt php.net Übergangsmaßnahmen. Sie bieten keinen vollständigen Schutz. Setzen Sie die Werte in der php.ini der jeweiligen lsphp-Version oder in der Serverkonfiguration, nicht in `.user.ini` und nicht per `ini_set()`.

```ini
; php.ini der betroffenen lsphp-Version (Pfad je Installation)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M
```

Mit Upload-Funktion nennt php.net `post_max_size = 32M`, `upload_max_filesize` darunter. Auf PHP 8.5 kommt `fatal_error_backtraces=0` hinzu. Speichergrenzen setzen Sie über cgroups, auf CloudLinux etwa über die dort vorgesehenen Limits, nicht über `RLIMIT_AS` oder `RLIMIT_DATA`. Danach folgt erneut der Neustart aller lsphp-Prozesse. Weitere Details: [Sofortmaßnahmen ohne Patch](https://phpsos.de/php2shell/sofortmassnahmen-ohne-patch/). Das BSI empfiehlt, einen Webserver vorübergehend vom Netz zu nehmen, wenn das Update nicht sofort möglich ist.

## Nach dem Update

Ein Patch schließt die Lücke, entfernt aber keine bereits eingeschleuste Schadsoftware und belegt nicht, dass vorher nichts geschah. Bewahren Sie die Zugriffsprotokolle ab dem 20.10.2026 auf und prüfen Sie die Websites auf neue PHP-Dateien in Upload-Verzeichnissen, fremde Administrator-Konten und ungewöhnliche ausgehende Verbindungen. Hinweise zur laufenden Überwachung bietet unser [Security-Monitoring](https://phpsos.de/leistungen/security-monitoring/). Auf cPanel-Servern mit LiteSpeed lohnt zusätzlich ein Blick auf [cPanel und WHM](https://phpsos.de/server/cpanel/).

Viele LiteSpeed-Server laufen unter einem Hosting-Panel wie cPanel, Plesk, DirectAdmin oder CyberPanel. Das Panel bestimmt dann, aus welcher Quelle lsphp kommt und wie Updates eingespielt werden. Nehmen Sie Updates in diesem Fall über das Panel oder dessen Paketquellen vor und installieren Sie nicht parallel aus einer zweiten Quelle, sonst wird schwer nachvollziehbar, welche Fassung tatsächlich läuft. Halten Sie außerdem fest, welche Website mit welcher lsphp-Version betrieben wird. Auf Servern mit vielen Kundenkonten ist diese Liste die Grundlage, um Konteninhaber gezielt zu informieren und nach dem Update stichprobenartig zu prüfen, ob die Websites fehlerfrei laufen. Websites, die eine nicht mehr unterstützte PHP-Version verlangen, gehören auf eine eigene Liste, weil für sie kein offizielles Update kommt.

## Wie hilft PHP SOS konkret?

- Wir erfassen alle lsphp-Versionen, Paketquellen und Handler-Zuordnungen Ihres Servers.
- Über den [PHP-Patch-Service](https://phpsos.de/leistungen/php-patch-service/) aktualisieren wir, beenden alle alten lsphp-Prozesse und dokumentieren den Nachweis.
- Wo noch kein Paket bereitsteht, setzen wir die Übergangswerte serverweit und begrenzen den Speicher per cgroup.
- Wir prüfen die Websites auf Spuren eines Angriffs und sichern die Logs.


## Häufige Fragen

**Ist LiteSpeed von PHP2Shell betroffen?**  
Ja. Laut PHP-Projekt gehört LiteSpeed zu den betroffenen Betriebsarten. Die Lücken liegen in PHP selbst, das LiteSpeed über LSAPI ausführt. Maßgeblich ist daher der Stand der lsphp-Pakete.

**Warum laufen nach dem Update noch alte lsphp-Prozesse?**  
LiteSpeed kann PHP-Prozesse unabhängig vom Webserver weiterlaufen lassen, um Ladezeiten zu sparen. Ein Neustart des Webservers beendet sie je nach Betriebsart nicht sofort. Kontrollieren Sie deshalb die Startzeit aller lsphp-Prozesse.

**Gilt das auch für OpenLiteSpeed?**  
Grundsätzlich ja. OpenLiteSpeed nutzt ebenfalls lsphp über LSAPI. Pfade, Paketquellen und Verwaltungsoberfläche unterscheiden sich, das Prinzip aus Update, Neustart und Kontrolle bleibt gleich.

**Hilft der LiteSpeed-Cache gegen die Lücke?**  
Nein. Ein Seiten-Cache liefert zwar manche Seiten ohne PHP aus, doch Anfragen, die PHP erreichen, bleiben angreifbar. Ein Cache ist kein Ersatz für das PHP-Update.

## Quellen

- [php.net: Sicherheitsmeldungen](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [php.net: Unterstützte Versionen](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)