LiteSpeed Enterpriseにroot権限奪取の脆弱性、共用サーバーで他アカウントへの不正アクセス恐れ

要点

• Webサーバー「LiteSpeed Web Server Enterprise」に、一般ユーザーが最高管理者権限（root権限）を奪取できる重大な脆弱性が確認された。

• 共用サーバー環境において1つのアカウントから他顧客のサイトやシステム設定を改ざんされる恐れがあり、隔離機能「CageFS」も回避される。

• 開発元は修正版「6.3.7」を公開しており、管理ツールを提供するcPanelは管理者に対して手動コマンドによる速やかな更新を呼びかけている。

• 脆弱性の詳細な仕組みやCVE番号は公開されておらず、オープンソース版「OpenLiteSpeed」向けの修正は現時点で提供されていない。

• サーバー管理ツールを手がけるcPanelは2026年9月14日、Webサーバーソフトウェア「LiteSpeed Web Server Enterprise」に重大なセキュリティ脆弱性が存在すると警告するアドバイザリを公開した。影響を受けるのはバージョン6.3.7未満の環境で、共用サーバー上の権限が低い一般のWebサイト利用者がroot権限（サーバーの全操作が可能な最高管理者権限）を取得できる恐れがあるという。開発元のLiteSpeedは9月11日に修正版となるバージョン6.3.7をリリースしており、cPanelはサーバー管理者に向けて速やかなアップデートを推奨している。

脆弱性の影響と共用サーバーにおけるリスク

今回の脆弱性は、1台のサーバーマシン上で複数顧客のWebサイトが同時に稼働する共用サーバー（単一の物理サーバーリソースを複数契約者で共有するホスティング環境）において深刻な脅威となる。

アドバイザリによると、悪意ある攻撃者がサーバー上に1つでもホスティングアカウントを所持していれば、この脆弱性を突いてroot権限を奪取し、同じサーバー上で稼働している他の顧客のWebサイトや設定ファイルへアクセスしたり、データを改ざんしたりすることが可能になるという。

さらに本脆弱性は、アカウント間の分離を維持するためのセキュリティ機構を回避できると説明されている。具体的には、各アカウントに独立した制限付きのファイルシステムビューを割り当てて他アカウントやサーバー設定ファイルを不可視化するCloudLinuxの隔離ツール「CageFS」などの防御機能も突破される恐れがある。

修正版バージョン6.3.7の提供と手動アップデート手順

LiteSpeedは2026年9月11日付で、本脆弱性に対応したバージョン6.3.7を公開した。

cPanelおよびLiteSpeedは、自動更新機能による配信には遅延が生じる可能性があるとして、サーバー管理者に対して以下のコマンドを用いた手動での即時アップデートを案内している。

/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7

ただし、LiteSpeedの公式ドキュメントによると、上記のコマンドで特定バージョンを強制指定してインストールした場合、サーバーは通常の「安定版（Stable）自動追従」を行わなくなる。そのため、アップデート完了後に自動更新の追従状態を元に戻すには、以下のコマンドを実行して設定を再開する必要がある。

touch /usr/local/lsws/autoupdate/follow_stable

なお、アドバイザリおよびリリースノートでは、即座にバージョンアップを実施できないサーバー向けの暫定的な回避策（ワークアラウンド）や、すでに攻撃を受けたかどうかを判別するための侵害痕跡情報は提示されていない。

脆弱性の詳細と公開状況

現時点で、この脆弱性の具体的な悪用方法や技術的な仕組みは公表されていない。

LiteSpeedが発表したバージョン6.3.7の案内では「セキュリティの改善やバグ修正」と記載されているのみで、変更履歴（チェンジログ）には3項目のセキュリティ関連の変更が並んでいるものの、特権昇格に関する直接的な言及はなく、どの修正が該当の脆弱性を解決するものかは明示されていない。

また、本脆弱性にはCVE番号（公表された脆弱性を一意に識別するための国際的な共通識別子）や深刻度スコアが割り当てられておらず、2026年9月15日時点の公開CVEレコードでも該当する登録は確認されていない。アドバイザリ内でも、実際の攻撃における悪用が確認されているかどうかについては言及されていない。

関連エディションの状況と過去の事例

今回のセキュリティアドバイザリで対象とされているのは商用版の「LiteSpeed Web Server Enterprise」のみである。オープンソース版として提供されている「OpenLiteSpeed」については言及がなく、2026年9月15日時点では対応する更新版はリリースされていない。

また、同日時点でLiteSpeedの公式ダウンロードページでは旧バージョンの6.3.6が安定版として掲載されたままであり、2026年7月に公開されたプレリリース版「6.4.0 RC1」の変更履歴にも今回の3件のセキュリティ修正は記載されていない。cPanelのアドバイザリでは、この6.4.0 RC版が影響を受けるかどうかについては触れられていない。

cPanel環境においてLiteSpeed関連のソフトウェアからroot権限が奪取される脆弱性が報告されるのは、2026年5月以降で今回が3度目となる。ただし、過去2件（5月に公表されたCVE-2026-48172および6月に公表されたCVE-2026-54420）はいずれもユーザー側の「cPanel向けプラグイン」に存在していた脆弱性であり、Webサーバーソフトウェア本体においてこの種の特権昇格が報告されたのは今回が初めての事例となる。なお、過去のプラグインに関する2件の脆弱性はいずれも実際の悪用が確認され、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の悪用確認済み脆弱性カタログ（KEV）にも登録されていた。