LiteSpeed kündigte die Version 6.3.7 lediglich als Ausgabe mit “Sicherheitsverbesserungen, Fehlerkorrekturen und mehr!” an. Der Changelog führt drei sicherheitsrelevante Änderungen auf, erwähnt aber keine Rechteausweitung; keines der beiden Unternehmen hat öffentlich mitgeteilt, welche der Änderungen die Lücke schließt. Auch zur Frage, ob der Fehler bereits ausgenutzt wurde, äußert sich der Hinweis nicht.
Sowohl cPanel als auch LiteSpeed nennen denselben Befehl für die sofortige Installation von 6.3.7: /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7
Das manuelle Einspielen ist deshalb wichtig, weil die Fassung möglicherweise nicht von allein eintrifft. LiteSpeed erklärte, es könne “zu einer gewissen Verzögerung kommen”, bis die Version über die automatische Aktualisierung ausgeliefert werde. Auf der Download-Seite von LiteSpeed war am 15. September weiterhin 6.3.6 als stabile Ausgabe gelistet – daneben ein Vorabbuild von 6.4.0 (RC1) aus dem Juli, dessen Changelog die drei Sicherheitsänderungen nicht aufführt. Ob die Release Candidates von 6.4.0 betroffen sind, lässt der cPanel-Hinweis offen.
Die Aktualisierungsdokumentation von LiteSpeed weist darauf hin, dass das Erzwingen einer bestimmten Version mit diesem Befehl den Server aus seiner stabilen Update-Stufe herausnimmt. Administratoren können automatische Stable-Updates anschließend mit dem Befehl touch /usr/local/lsws/autoupdate/follow_stable wieder aktivieren.
Einen Behelfsschutz für Server, die nicht sofort aktualisiert werden können, bieten weder cPanel noch LiteSpeed an. Ebenso fehlen Erkennungsmerkmale, anhand derer sich prüfen ließe, ob ein Server bereits angegriffen wurde. Der Hinweis benennt ausschließlich die Enterprise-Ausgabe und geht nicht auf OpenLiteSpeed ein, den quelloffenen Server des Herstellers – für ihn lag am 15. September keine entsprechende Aktualisierung vor.
Es ist seit Mai bereits der dritte Fall, in dem eine Schwachstelle in LiteSpeed-Software auf cPanel-Servern einem Hosting-Konto Root-Zugriff verschaffen soll – aber der erste im Webserver selbst. Im Mai und Juni legte LiteSpeed zwei solcher Lücken in seinem cPanel-Plugin für Endanwender offen, CVE-2026-48172 und CVE-2026-54420. Der Hersteller erklärte damals, beide würden aktiv ausgenutzt, und behob sie im Plugin. Die CISA nahm beide später in ihren Katalog bekannter ausgenutzter Schwachstellen auf, wie The Hacker News im Mai und Juni berichtete.
The Hacker News hat LiteSpeed, cPanel und CloudLinux mit Fragen zu der Schwachstelle kontaktiert.