Pourquoi celle-ci sort du lot
La plupart des avis que nous publions concernent des logiciels que vous exécutez vous-même. Celui-ci concerne la machine située sous un compte d’hébergement mutualisé — et il inverse le modèle de confiance sur lequel le mutualisé se vend. Le principe du mutualisé, c’est que les comptes sont des voisins qui ne peuvent pas s’atteindre. CloudLinux et CageFS existent précisément pour le garantir. Cette faille permet à un voisin muni d’un simple compte FTP de sortir de sa boîte et de devenir root sur l’hôte. À partir de là, tous les sites du serveur sont lisibles, inscriptibles et modifiables par quelqu’un qui a payé l’offre la moins chère de la machine.La faille
Le plugin gère mal les liens symboliques. Un compte disposant d’un accès FTP ou d’un webshell peut poser un lien que le plugin suit alors qu’il s’exécute avec des droits élevés, et s’en servir pour monter jusqu’à root. Aucune exploitation de bug mémoire, aucune course contre le noyau. Juste un processus privilégié qui fait confiance à un chemin contrôlé par un utilisateur non privilégié — la plus ancienne forme d’élévation locale de privilèges, et toujours l’une des plus efficaces. Deux propriétés la rendent grave plutôt que simplement intéressante : Le ticket d’entrée est bas. L’accès FTP est ce qu’un hébergeur mutualisé distribue de moins privilégié. C’est ce que reçoit chaque client, y compris celui qui a souscrit il y a une heure avec une carte volée. L’exploitation est confirmée. La CISA n’inscrit pas une faille au KEV sur une hypothèse. L’entrée du 15 juin 2026 signifie qu’elle a servi contre des systèmes réels. Le problème a été signalé par Namecheap le 31 mai 2026 — un hébergeur qui la découvre dans son propre parc, ce qui en dit long sur l’endroit où elle se manifeste.Mesurer votre exposition
Il faut séparer deux choses qui portent le même nom. Il s’agit d’une faille du plugin cPanel distribué par LiteSpeed, pas de LiteSpeed Web Server lui-même. Si vous faites tourner LSWS sur un VPS que vous administrez seul, sans cPanel, vous n’êtes pas concerné.
Vérifier et mettre à jour
Contrôlez la version installée depuis WHM, ou en ligne de commande :Chercher des traces d’exploitation
Corriger empêche que cela recommence ; cela ne dit rien du passé. L’exploitation étant confirmée dans la nature, un serveur ayant exécuté une version vulnérable mérite un coup d’œil. Le signal, c’est une rafale d’appels au plugin en succession rapide — l’exploit a besoin de plusieurs tentatives concurrentes pour aboutir. Dans les journaux du plugin, cherchezgenerateEcCert immédiatement suivi de packageUserSize, et des grappes de sept à dix appels concurrents par tentative :