Litespeed

บริษัท FoxIO เปิดเผยช่องโหว่ใน QPACK ระบบบีบอัด header ของ HTTP/3 พร้อม PoC ที่ใช้ได้จริง ผู้โจมตีที่ไม่ต้องล็อกอินส่ง header บีบอัดชุดเล็กที่คลายออกเป็นข้อมูลมหาศาล ทำให้เซิร์ฟเวอร์ใช้หน่วยความจำมากกว่าที่ได้รับหลายพันเท่าจนล่ม FoxIO พบปัญหาใน 7 จาก 10 สแตกที่ทดสอบ quic-go, Cloudflare quiche, lsquic และ Wireshark แก้แล้ว แต่ Bun, h3 และ aioquic ยังไม่มีแพตช์ ช่องโหว่ทำได้เพียง DoS ยังไม่พบการโจมตีจริง

บริษัท cPanel เตือนช่องโหว่ร้ายแรงใน LiteSpeed Web Server Enterprise ที่เปิดทางให้ผู้ใช้เว็บสิทธิ์ต่ำบนเซิร์ฟเวอร์แบบแชร์โฮสต์ยกระดับเป็น root ข้ามการแยกบัญชีรวมถึง CageFS ได้ กระทบเวอร์ชันก่อน 6.3.7 และแนะนำให้อัปเดตทันที ทั้งสองบริษัทยังไม่เปิดเผยกลไกช่องโหว่ และยังไม่มี CVE หรือคะแนนความรุนแรง นับเป็นครั้งที่สามตั้งแต่พฤษภาคมที่ช่องโหว่ LiteSpeed บนเซิร์ฟเวอร์ cPanel ยกสิทธิ์เป็น root

CISA เพิ่มช่องโหว่ CVE-2026-54420 ใน LiteSpeed cPanel Plugin เข้าบัญชี KEV หลังพบการโจมตีจริง ช่องโหว่นี้มีคะแนน CVSS 8.5 ช่วยให้ผู้โจมตีที่มี FTP หรือ web shell access บน shared hosting ที่ใช้ CloudLinux/CageFS ยกระดับสิทธิ์เป็น root ผ่านการใช้ symlink ที่ไม่ถูกต้อง หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายในวันที่ 18 มิถุนายน