สรุปสั้น
บริษัท cPanel ออกประกาศเมื่อวันที่ 14 กันยายน 2569 เตือนช่องโหว่ร้ายแรงใน LiteSpeed Web Server Enterprise ที่เปิดทางให้ผู้ใช้เว็บซึ่งมีสิทธิ์ต่ำสามารถยกระดับเป็นสิทธิ์ root บนเซิร์ฟเวอร์แบบแชร์โฮสต์ได้ บนเซิร์ฟเวอร์ลักษณะนี้ เว็บของลูกค้าหลายรายทำงานอยู่บนเครื่องเดียวกัน ผู้โจมตีที่มีบัญชีโฮสต์เพียงบัญชีเดียวจึงสามารถใช้ช่องโหว่เข้าถึงหรือแก้ไขเว็บของรายอื่นและตัวเซิร์ฟเวอร์เองได้
ช่องโหว่นี้กระทบเวอร์ชันก่อน 6.3.7 โดย cPanel เร่งให้ผู้ดูแลระบบอัปเดตเป็นรุ่นดังกล่าวที่ LiteSpeed เผยแพร่เมื่อวันที่ 11 กันยายน จุดสำคัญคือช่องโหว่สามารถข้ามกลไกที่แยกบัญชีโฮสต์ออกจากกันได้ รวมถึง CageFS ซึ่งเป็นเครื่องมือของ CloudLinux ที่ให้แต่ละบัญชีโฮสต์เห็นระบบไฟล์แบบจำกัด จนมองไม่เห็นบัญชีอื่นหรือไฟล์ตั้งค่าของเซิร์ฟเวอร์ ประกาศนี้ไม่มีหมายเลข CVE หรือคะแนนความรุนแรง และการตรวจฐานข้อมูล CVE เมื่อวันที่ 15 กันยายนก็ไม่พบรายการสำหรับช่องโหว่นี้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 15 กันยายน 2569 ว่า บริษัท cPanel ระบุว่าได้รับแจ้งเรื่องช่องโหว่ดังกล่าว และทั้ง cPanel กับ LiteSpeed ต่างให้คำสั่งเดียวกันในการติดตั้งเวอร์ชัน 6.3.7 ทันที คือ /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7 การอัปเดตด้วยมือมีความสำคัญ เพราะ LiteSpeed ระบุว่า “อาจมีความล่าช้า” ก่อนที่รุ่น 6.3.7 จะไปถึงระบบอัปเดตอัตโนมัติ
ทั้งประกาศของ cPanel และบันทึกรุ่นของ LiteSpeed ไม่ได้อธิบายว่าช่องโหว่ทำงานอย่างไร LiteSpeed เรียกการปล่อยรุ่น 6.3.7 เพียงว่าเป็นรุ่นที่มี “การปรับปรุงด้านความปลอดภัย แก้บั๊ก และอื่น ๆ” ส่วน changelog ระบุการเปลี่ยนแปลงด้านความปลอดภัยสามรายการแต่ไม่กล่าวถึงช่องโหว่ยกระดับสิทธิ์ และไม่มีบริษัทใดเปิดเผยว่าการเปลี่ยนแปลงใดเป็นตัวแก้ ขณะที่จนถึงวันที่ 15 กันยายน หน้าดาวน์โหลดของ LiteSpeed ยังคงระบุ 6.3.6 เป็นรุ่นเสถียร ควบคู่กับรุ่นทดสอบ 6.4.0 (RC1) ของเดือนกรกฎาคมที่ changelog ไม่ได้ระบุการเปลี่ยนแปลงด้านความปลอดภัยสามรายการนั้น และประกาศของ cPanel ก็ไม่ได้บอกว่ารุ่นทดสอบ 6.4.0 ได้รับผลกระทบหรือไม่
นับเป็นครั้งที่สามตั้งแต่เดือนพฤษภาคมที่มีการรายงานว่าช่องโหว่ในซอฟต์แวร์ LiteSpeed บนเซิร์ฟเวอร์ cPanel เปิดทางให้บัญชีโฮสต์ได้สิทธิ์ root แต่เป็นครั้งแรกที่อยู่ในตัวเว็บเซิร์ฟเวอร์เอง โดยในเดือนพฤษภาคมและมิถุนายน LiteSpeed เคยเปิดเผยช่องโหว่ลักษณะเดียวกันสองรายการในปลั๊กอิน cPanel ฝั่งผู้ใช้ คือ CVE-2026-48172 และ CVE-2026-54420 ระบุว่าทั้งคู่ถูกใช้โจมตีจริง และแก้ไขในปลั๊กอินแล้ว ต่อมา CISA ได้เพิ่มทั้งสองรายการเข้าสู่แคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริง (Known Exploited Vulnerabilities)
รายละเอียดช่องโหว่
ช่องโหว่นี้อยู่ใน LiteSpeed Web Server รุ่น Enterprise และเปิดทางให้บัญชีโฮสต์สิทธิ์ต่ำหลุดออกจากขอบเขตของตนไปสู่สิทธิ์ root บนเครื่อง โดยหัวใจของปัญหาคือความสามารถข้ามการควบคุมที่แยกบัญชีโฮสต์ออกจากกัน รวมถึง CageFS ที่ปกติจะจำกัดให้แต่ละบัญชีเห็นเฉพาะระบบไฟล์ของตัวเอง เมื่อกลไกแยกส่วนนี้ถูกข้าม บัญชีเดียวจึงสามารถเข้าถึงไฟล์ของบัญชีอื่นและไฟล์ตั้งค่าระดับเซิร์ฟเวอร์ได้
อย่างไรก็ตาม ทั้ง cPanel และ LiteSpeed ไม่เปิดเผยรายละเอียดทางเทคนิคของช่องโหว่ ไม่มีการระบุ workaround สำหรับเซิร์ฟเวอร์ที่ยังอัปเดตทันทีไม่ได้ และไม่มีตัวชี้วัด (indicator) ให้ตรวจสอบว่าเซิร์ฟเวอร์ถูกโจมตีไปแล้วหรือไม่ ประกาศยังระบุเฉพาะรุ่น Enterprise และไม่ครอบคลุม OpenLiteSpeed ซึ่งเป็นเซิร์ฟเวอร์โอเพนซอร์สของ LiteSpeed ที่จนถึงวันที่ 15 กันยายนยังไม่มีการปล่อยอัปเดตที่ตรงกัน อีกทั้งประกาศไม่ได้บอกว่าช่องโหว่ถูกใช้โจมตีจริงแล้วหรือยัง
ผลกระทบ
ผู้ที่ได้รับผลกระทบมากที่สุดคือผู้ให้บริการเว็บโฮสติงและผู้ดูแลเซิร์ฟเวอร์แบบแชร์โฮสต์ที่รันเว็บของลูกค้าหลายรายบนเครื่องเดียวกัน เพราะช่องโหว่นี้ทำลายสมมติฐานพื้นฐานของสถาปัตยกรรมแชร์โฮสต์ นั่นคือบัญชีของลูกค้าแต่ละรายต้องแยกออกจากกันอย่างเด็ดขาด เมื่อบัญชีเดียวสามารถยกสิทธิ์เป็น root และข้าม CageFS ได้ ผู้โจมตีที่ควบคุมบัญชีโฮสต์ราคาถูกเพียงบัญชีเดียว ไม่ว่าจะซื้อมาเองหรือยึดจากลูกค้ารายอื่น ก็สามารถลุกลามไปยึดเว็บทุกรายบนเซิร์ฟเวอร์และตัวเครื่องได้ทั้งหมด
ความน่ากังวลยิ่งขึ้นเมื่อไม่มีตัวชี้วัดให้ตรวจย้อนหลังและยังไม่มี workaround ทำให้การอัปเดตเป็นทางป้องกันเดียวที่มีอยู่ ประกอบกับที่ผ่านมาช่องโหว่ยกสิทธิ์ root ของ LiteSpeed สองรายการก่อนหน้า (CVE-2026-48172 และ CVE-2026-54420) ถูกใช้โจมตีจริงจนถูกขึ้นบัญชี KEV มาแล้ว จึงมีความเป็นไปได้สูงที่ช่องโหว่ใหม่นี้จะตกเป็นเป้าในเวลาอันสั้นเช่นกัน
คำแนะนำ
ผู้ดูแลเซิร์ฟเวอร์ LiteSpeed Web Server Enterprise ควรอัปเดตเป็นเวอร์ชัน 6.3.7 ทันทีด้วยคำสั่ง /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7 โดยไม่รอระบบอัปเดตอัตโนมัติที่อาจล่าช้า ทั้งนี้ LiteSpeed ระบุว่าการบังคับติดตั้งเวอร์ชันเจาะจงด้วยคำสั่งนี้จะทำให้เซิร์ฟเวอร์หยุดติดตามลำดับอัปเดตเสถียรของตน และผู้ดูแลสามารถกลับมารับอัปเดตเสถียรอัตโนมัติได้อีกครั้งด้วยการรัน touch /usr/local/lsws/autoupdate/follow_stable หลังจากนั้น
เนื่องจากยังไม่มี workaround หรือตัวชี้วัดการถูกโจมตี ผู้ดูแลจึงควรถือว่าการอัปเดตเป็นเรื่องเร่งด่วน ตรวจสอบว่าเซิร์ฟเวอร์ที่ใช้ LiteSpeed Enterprise ทุกเครื่องได้ยกระดับเป็น 6.3.7 แล้ว และเฝ้าระวังกิจกรรมผิดปกติที่บ่งชี้การยกระดับสิทธิ์หรือการเข้าถึงข้ามบัญชี ส่วนผู้ที่ใช้ OpenLiteSpeed ควรติดตามประกาศจาก LiteSpeed อย่างใกล้ชิด เพราะยังไม่มีการยืนยันว่าได้รับผลกระทบหรือมีแพตช์ที่ตรงกันหรือไม่