# LiteSpeed a LSAPI: aktualizácia PHP

> LiteSpeed aktualizácia PHP po PHP2Shell: skontrolujte balíky lsphp, reštartujte všetky procesy LSAPI, nastavte prechodné hodnoty a zdokumentujte stav.

Zdroj: https://phpsos.de/sk/server/litespeed/  
Stav: 25.10.2026  
Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručne:** Aktualizácia PHP v LiteSpeed sa týka balíkov lsphp, cez ktoré LiteSpeed vykonáva PHP prostredníctvom LSAPI. Po aktualizácii sa musia reštartovať všetky procesy lsphp a práve to sa pri LiteSpeed nie vždy deje automaticky s webovým serverom. Skôr než server zaradíte medzi zaplátané, skontrolujte stav balíkov a čas spustenia procesov.

## LiteSpeed, LSAPI a lsphp stručne vysvetlené

LiteSpeed Web Server a slobodný variant OpenLiteSpeed nevykonávajú PHP ako modul, ale cez vlastné rozhranie LSAPI. Programy PHP pre to sa volajú lsphp a väčšinou pochádzajú z vlastných zdrojov balíkov, pre každú verziu napríklad `lsphp83` alebo `lsphp84`. Na paneloch ako cPanel, Plesk alebo CyberPanel môžu navyše figurovať balíky PHP patriace samotnému panelu.

PHP2Shell zahŕňa zraniteľnosti CVE-2026-109618 a CVE-2026-109619 v samotnom PHP, každá s hodnotením CVSS v4.0 9.2. Projekt PHP uvádza LiteSpeed výslovne medzi dotknutými režimami prevádzky. Opravené sú verzie 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

## Aktualizácia PHP v LiteSpeed: zistite stav

Najprv zistite, aké verzie lsphp sú nainštalované a ktoré z nich sa používajú. Nasledujúce príkazy iba čítajú. Cesty a názvy balíkov sú príklady a závisia od inštalácie a distribúcie.

```bash
# Nainštalované verzie lsphp (typická cesta)
ls -d /usr/local/lsws/lsphp*/ 2>/dev/null
for p in /usr/local/lsws/lsphp*/bin/lsphp; do echo "$p"; "$p" -v | head -1; done

# Stav balíkov (príklady)
rpm -qa | grep -E '^lsphp[0-9]+' | sort
dpkg -l | grep -E 'lsphp[0-9]+'

# Bežiace procesy lsphp s časom spustenia
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
```

Zoznam porovnajte s konfiguráciou: Ktorý virtuálny hostiteľ používa ktorý External App Handler? V rozhraní LiteSpeed to nájdete pod Server Configuration a v nastaveniach virtuálnych hostiteľov. Verzie bez priradenia by ste aj tak mali aktualizovať alebo odstrániť.

## Dbajte na backporty a zdroje balíkov

Ak lsphp pochádza z cudzieho zdroja, rozhoduje jeho stav balíkov. Ak PHP dodáva panel alebo distribúcia, platí ich údaj. V oboch prípadoch sa môže oprava dodať ako backport bez zmeny zobrazeného čísla verzie. Skontrolujte preto poznámky k zmenám od dodávateľa balíka a pri pochybnostiach si stav nechajte potvrdiť. Samotné číslo verzie nie je dôkazom.

## Reštart: na čom pri LiteSpeed záleží

LiteSpeed môže prevádzkovať PHP v takzvanom Detached Mode. Procesy lsphp pritom bežia nezávisle od webového servera, aby weby po reštarte webového servera odpovedali rýchlejšie. Pre bezpečnostnú aktualizáciu je to pasca: webový server je reštartovaný, ale staré procesy PHP so zraniteľným kódom zostávajú aktívne.

```bash
# Reštart webového servera (cesta ako príklad)
/usr/local/lsws/bin/lswsctrl restart

# Potom skontrolujte: Sú všetky procesy lsphp mladšie než aktualizácia?
ps -eo pid,lstart,user,cmd | grep lsphp | grep -v grep
```

Ak proces lsphp ukazuje čas spustenia pred aktualizáciou, cielene ho ukončite. LiteSpeed pri ďalšom požiadavku spustí nový proces s aktualizovaným kódom. Tento krok naplánujte mimo hlavného zaťaženia, pretože prvý požiadavok pre každý web môže potom trvať o niečo dlhšie.

> **Dôležité:**
> Po aktualizácii PHP je server zaplátaný až vtedy, keď nie je žiadny proces lsphp starší než aktualizácia. Kontrolu si zaznamenajte s dátumom a časom.

## Prechodné opatrenia, kým záplata nie je k dispozícii

Ak pre verziu lsphp ešte nie je dostupný opravený balík, php.net odporúča prechodné opatrenia. Neposkytujú úplnú ochranu. Hodnoty nastavte v php.ini príslušnej verzie lsphp alebo v konfigurácii servera, nie v `.user.ini` a nie cez `ini_set()`.

```ini
; php.ini dotknutej verzie lsphp (cesta podľa inštalácie)
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M
```

S funkciou nahrávania php.net uvádza `post_max_size = 32M`, pričom `upload_max_filesize` je nižšie. Pri PHP 8.5 pribúda `fatal_error_backtraces=0`. Obmedzenia pamäte nastavte cez cgroups, na CloudLinux napríklad cez tam určené limity, nie cez `RLIMIT_AS` alebo `RLIMIT_DATA`. Potom opäť nasleduje reštart všetkých procesov lsphp. Ďalšie podrobnosti: [Okamžité opatrenia bez záplaty](https://phpsos.de/sk/php2shell/sofortmassnahmen-ohne-patch/). BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) odporúča webový server dočasne odpojiť od siete, ak aktualizácia nie je možná okamžite.

## Po aktualizácii

Záplata uzavrie zraniteľnosť, ale neodstráni už zavlečený škodlivý softvér a nedokazuje, že sa predtým nič nestalo. Uchovajte prístupové protokoly od 20. 10. 2026 a skontrolujte weby na nové súbory PHP v adresároch na nahrávanie, cudzie účty administrátorov a nezvyčajné odchádzajúce spojenia. Upozornenia na priebežné monitorovanie ponúka náš [bezpečnostný monitoring](https://phpsos.de/sk/leistungen/security-monitoring/). Na serveroch cPanel s LiteSpeed sa oplatí pozrieť aj na [cPanel a WHM](https://phpsos.de/sk/server/cpanel/).

Mnohé servery LiteSpeed bežia pod hostingovým panelom, ako je cPanel, Plesk, DirectAdmin alebo CyberPanel. Panel potom určuje, z akého zdroja lsphp pochádza a ako sa nasadzujú aktualizácie. Aktualizácie v takom prípade vykonávajte cez panel alebo jeho zdroje balíkov a neinštalujte paralelne z druhého zdroja, inak je ťažké dohľadať, ktorá verzia skutočne beží. Zaznamenajte si aj to, ktorý web beží s ktorou verziou lsphp. Na serveroch s mnohými zákazníckymi účtami je tento zoznam základom na cielené informovanie majiteľov účtov a na namatkovú kontrolu po aktualizácii, či weby fungujú bez chýb. Weby, ktoré vyžadujú už nepodporovanú verziu PHP, patria na osobitný zoznam, pretože pre ne oficiálna aktualizácia nevyjde.

## Ako konkrétne pomáha PHP SOS?

- Zaznamenáme všetky verzie lsphp, zdroje balíkov a priradenia handlerov vášho servera.
- Cez [službu záplatovania PHP](https://phpsos.de/sk/leistungen/php-patch-service/) aktualizujeme, ukončíme všetky staré procesy lsphp a zdokumentujeme dôkaz.
- Kde balík ešte nie je pripravený, nastavíme prechodné hodnoty celoserverovo a obmedzíme pamäť cez cgroup.
- Weby skontrolujeme na stopy útoku a zabezpečíme logy.


## Časté otázky

**Týka sa PHP2Shell aj LiteSpeed?**  
Áno. Podľa projektu PHP patrí LiteSpeed medzi dotknuté režimy prevádzky. Zraniteľnosti sú v samotnom PHP, ktoré LiteSpeed vykonáva cez LSAPI. Rozhodujúci je preto stav balíkov lsphp.

**Prečo po aktualizácii stále bežia staré procesy lsphp?**  
LiteSpeed môže nechať procesy PHP bežať nezávisle od webového servera, aby šetril časy načítania. Reštart webového servera ich podľa režimu prevádzky okamžite neukončí. Preto skontrolujte čas spustenia všetkých procesov lsphp.

**Platí to aj pre OpenLiteSpeed?**  
V zásade áno. OpenLiteSpeed tiež používa lsphp cez LSAPI. Cesty, zdroje balíkov a správcovské rozhranie sa líšia, princíp aktualizácie, reštartu a kontroly zostáva rovnaký.

**Pomáha proti zraniteľnosti cache LiteSpeed?**  
Nie. Cache stránok síce niektoré stránky doručí bez PHP, požiadavky, ktoré PHP dosiahnu, však zostávajú napadnuteľné. Cache nie je náhradou za aktualizáciu PHP.

## Zdroje

- [php.net: bezpečnostné hlásenia](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [php.net: podporované verzie](https://www.php.net/supported-versions.php)
- [BSI](https://www.bsi.bund.de/)