Zusätzliches LiteSpeed Enterprise-Sicherheitsupdate nach kritischer Root-Schwachstelle veröffentlicht
LiteSpeed 6.3.7 Build 1 enthält ein zusätzliches Sicherheitsupdate für LiteSpeed Web Server Enterprise. Der neue Build wurde am 15. September 2026 veröffentlicht und enthält einen weiteren Security-Fix für einen Corner Case bei der Validierung interner Redirect-URLs.
Administratoren, die LiteSpeed Enterprise nach der vorherigen Sicherheitswarnung bereits auf 6.3.7 aktualisiert haben, sollten deshalb erneut prüfen, welcher Build tatsächlich auf dem Server installiert ist.
Was wurde geändert?
LiteSpeed Web Server Enterprise 6.3.7 Build 0 wurde am 11. September mit mehreren Sicherheitsverbesserungen veröffentlicht. Dazu gehören eine verbesserte Authentifizierung und Validierung von lscgid-Requests, eine strengere Validierung interner Redirect-URLs sowie ein verbesserter Schutz wichtiger interner Environment Variables.
Am 15. September folgte 6.3.7 Build 1. Laut offiziellem LiteSpeed-Changelog behebt dieser Build einen weiteren sicherheitsrelevanten Corner Case bei der Validierung interner Redirect-URLs.
Warum ist dieses Update wichtig?
Die vorherige LiteSpeed Enterprise-Sicherheitswarnung betrifft eine schwerwiegende Privilege-Escalation-Schwachstelle. Laut cPanel kann ein bösartiger Website-Benutzer mit niedrigen Berechtigungen möglicherweise die normale Account-Isolierung umgehen und Root-Zugriff auf den gesamten Server erhalten.
Dabei können auch Isolierungsmechanismen wie CageFS umgangen werden. Auf Shared-Hosting-Systemen könnte dadurch ein kompromittierter Hosting-Account möglicherweise andere Websites sowie den zugrunde liegenden Server gefährden.
Bereits aktualisierte Server erneut kontrollieren
Nach der zusätzlichen Veröffentlichung reicht es nicht mehr aus, ausschließlich zu prüfen, ob Version 6.3.7 installiert ist. Administratoren sollten auch den installierten Build kontrollieren und sicherstellen, dass der aktuellste verfügbare LiteSpeed Web Server Enterprise-Build verwendet wird.
- 6.3.7 Build 0: veröffentlicht am 11. September 2026.
- 6.3.7 Build 1: veröffentlicht am 15. September 2026 mit einem zusätzlichen Security-Fix für die Validierung interner Redirect-URLs.
Was sollten Administratoren tun?
- Installierte LiteSpeed Enterprise-Version und Build kontrollieren.
- Auf den aktuellsten verfügbaren LiteSpeed Web Server Enterprise-Build aktualisieren.
- Nicht davon ausgehen, dass ein früheres Update auf 6.3.7 automatisch den zusätzlichen Fix enthält.
- Nach dem Update prüfen, ob LiteSpeed und die gehosteten Websites ordnungsgemäß funktionieren.
- Verdächtige Aktivitäten untersuchen, wenn der Server längere Zeit eine verwundbare Version verwendet hat.
Keine neue CVE veröffentlicht
Für diesen zusätzlichen Security-Fix ist zum Zeitpunkt der Veröffentlichung keine separate CVE-Kennung bekannt. LiteSpeed beschreibt die Änderung als zusätzliche Korrektur eines weiteren Corner Cases bei der Validierung interner Redirect-URLs.
Es gibt außerdem keine verlässliche öffentliche Bestätigung, dass dieser spezifische zusätzliche Corner Case aktiv ausgenutzt wird. Aufgrund der Schwere der zugrunde liegenden LiteSpeed Enterprise-Sicherheitslücke sollte das aktuelle Update dennoch zeitnah installiert werden.
Vservs Managed Hosting
Bei Vservs Managed VPS werden kritische Server- und Sicherheitsupdates im Rahmen der technischen Serververwaltung durchgeführt. Bei schwerwiegenden Schwachstellen prüfen wir zusätzlich, ob weitere Schutzmaßnahmen oder Untersuchungen erforderlich sind.