LiteSpeed ha publicado el 10 de noviembre de 2026 la build 9 de LiteSpeed Web Server Enterprise 6.3.7, que corrige un fallo en el manejo de la configuración de Apache. Según el registro de cambios oficial, el error permitía acceder a ficheros fuera del directorio raíz del sitio y ejecutar scripts sin suEXEC, lo que en servidores con CloudLinux equivale a escapar de CageFS, el aislamiento que separa a los clientes de un hosting compartido. Es el segundo problema de este tipo en LiteSpeed en apenas dos meses.
Las claves del nuevo escape de CageFS en LiteSpeed en 20 segundos
- LiteSpeed Enterprise 6.3.7 build 9 y 6.4.0 RC2 build 7 corrigen un escape de CageFS.
- La build 8 no lo corrige: hay que comprobar el fichero BUILD.
- No hay CVE ni detalles técnicos públicos.
El registro de cambios de LiteSpeed describe la corrección como una mejora en el manejo de la configuración de Apache «para impedir el acceso no autorizado a ficheros más allá del document root y la ejecución de scripts sin suEXEC», y la etiqueta expresamente como «CageFS escape». La misma corrección llega en la rama de pruebas con la versión 6.4.0 RC2 build 7. Ambas builds añaden además una autenticación HTTP más estricta, una opción autoWhiteListLocalIps para controlar la inclusión automática de IP locales en la lista blanca y la corrección de un bucle infinito en peticiones HTTP internas.
Por qué importa en el hosting compartido
En un servidor compartido, cada cliente debería ver solo sus propios ficheros. CageFS, de CloudLinux, crea para cada cuenta un sistema de ficheros virtual aislado, y suEXEC hace que los scripts de cada sitio se ejecuten con el usuario de esa cuenta y no con el del servidor web. Si un sitio puede leer fuera de su directorio o ejecutar código sin suEXEC, un cliente malintencionado, o un atacante que haya comprometido una web vulnerable, podría acceder a datos de otros clientes. Según Panellicense, que ha resumido el aviso enviado por LiteSpeed a sus clientes, en el peor de los casos podría llegar a obtener acceso root. LiteSpeed no ha publicado qué configuraciones concretas activan el fallo ni si se ha explotado, y no hay CVE asignado.
El antecedente es reciente. En septiembre, cPanel avisó de otra vulnerabilidad crítica de escalada de privilegios en LiteSpeed Web Server Enterprise anterior a 6.3.7 que también permitía saltarse CageFS y obtener root en servidores compartidos, y LiteSpeed publicó varias builds seguidas de la 6.3.7 para cerrarla. Este nuevo fallo es distinto y requiere actualizar de nuevo, aunque ya se tenga la 6.3.7. Tampoco hay que confundirlo con la build 8, publicada el 3 de noviembre, que corrigió una vulnerabilidad crítica en LSQUIC, la implementación de HTTP/3.
Cómo comprobar la versión y actualizar
El número de versión no basta, porque todas las builds se identifican como 6.3.7. Hay que mirar el número de build:
cat /usr/local/lsws/BUILDSi es inferior a 9, la actualización se fuerza con el script oficial y después se reinicia el servicio:
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7
/usr/local/lsws/bin/lswsctrl restartTras actualizar, conviene volver a comprobar que el fichero BUILD indica 9 o superior y revisar los sitios que usan autenticación HTTP (zonas protegidas con .htpasswd, entornos de pruebas o paneles de administración), porque la nueva build aplica una autenticación más estricta que podría afectar a configuraciones poco ortodoxas. Si hay sospechas de que el servidor ha sido comprometido, las recomendaciones habituales son un análisis de malware, revisar los crontab de root y de cada usuario, comprobar las cuentas excluidas de CageFS con cagefsctl --list-disabled y cambiar credenciales del servidor y contraseñas y tokens guardados en las cuentas alojadas.
Preguntas frecuentes
¿Qué versiones de LiteSpeed están afectadas?
LiteSpeed Web Server Enterprise anteriores a 6.3.7 build 9 en la rama estable y a 6.4.0 RC2 build 7 en la de pruebas.
¿Cómo sé qué build tengo?
Con cat /usr/local/lsws/BUILD. Todas las builds se presentan como 6.3.7, así que el número de build es lo que cuenta.
¿Es el mismo fallo que el de septiembre?
No. El de septiembre se corrigió con las primeras builds de 6.3.7; este es nuevo y requiere la build 9.
¿Afecta a OpenLiteSpeed?
Las fuentes solo mencionan LiteSpeed Web Server Enterprise; LiteSpeed no ha indicado que afecte a OpenLiteSpeed.
Fuentes:
