LiteSpeed Cache 7.9.2 поправя две уязвимости в оптимизацията

Q: Кои настройки на LiteSpeed Cache правят сайта уязвим?

Font Display Optimization в LiteSpeed Cache > Page Optimization > CSS Settings (CVE-2026-113500) и Use CDN Mapping в LiteSpeed Cache > CDN > Other Static CDN (CVE-2026-113499). И двете са изключени по подразбиране, но готовите настройки Advanced (Recommended), Aggressive и Extreme в LiteSpeed Cache > Presets включват Font Display Optimization. Сайтът е уязвим, ако е на версия преди 7.9.2 и поне една от двете е включена.

# ЕтикетиСигурностWordPress

Екипът на WPhost27 окт 20269 мин четене

На 23 октомври 2026 г. в американската база данни за уязвимости NVD бяха публикувани две уязвимости в плъгина LiteSpeed Cache, CVE-2026-113500 и CVE-2026-113499. Засегнати са всички версии преди 7.9.2, която излезе на 20 октомври и поправя и двете. През тях човек без акаунт може да вкара в страницата JavaScript (атака от типа XSS), който се изпълнява в браузъра на всеки посетител, включително на влязъл администратор. Според wordpress.org плъгинът има над 7 милиона активни инсталации.

Атаката работи само когато на сайта е включена една от две настройки за оптимизация и се публикуват коментари. Едната от тях обаче влиза в набора Advanced, който самият плъгин препоръчва, така че може да е включена, без някой да я е пускал ръчно.

Какво може да направи нападателят

Преди да изпрати страницата на посетителя, LiteSpeed Cache я преработва, за да се зарежда по-бързо. Две от тези преработки би трябвало да засягат само стиловете (CSS), но в старите версии минават през целия HTML код. В определен случай едната изтрива знака, с който завършва атрибут на HTML таг, а другата маха кавичка. Така границите на тага се разместват.

Според записите в CVE нападателят използва това заедно с името на автора на коментар, което се показва на страницата без нужното екраниране (escaping). Той оставя коментар с подготвено име. Щом коментарът бъде публикуван, част от името се превръща в атрибут, който пуска JavaScript, когато някой отвори страницата. Акаунт в сайта не му трябва.

Скрипт в браузъра на обикновен посетител може например да го пренасочи към чужда страница. Скрипт в браузъра на влязъл администратор може да прави в администрацията всичко, което може и той, включително да създаде нов потребител с пълни права. CISA оценява техническото въздействие като пълно.

По CVSS двете уязвимости са с оценка 7.5, „висока“. Сложността на атаката е отбелязана като висока, а за да сработи, някой трябва да отвори страницата. Какво значи такава оценка, е обяснено в ръководството за CVSS. Към 23 октомври CISA отбелязва в записите, че няма данни за атаки и че атаката не може да се автоматизира. WPScan ще публикува примерния код (proof of concept) на 22 ноември 2026 г. и оттогава всеки ще може да види как работи атаката. Обновете преди тази дата.

Кои сайтове са засегнати

Пълният кеш на плъгина работи само на сървър LiteSpeed или през QUIC.cloud, затова LiteSpeed Cache е особено разпространен при хостинг с LiteSpeed. Оптимизациите на страниците обаче работят на всеки сървър, включително Apache и nginx, така че засегнат може да е и сайт на друг хостинг.

Уязвим е сайт с LiteSpeed Cache преди 7.9.2, на който е включена поне една от тези настройки.

Font Display Optimization в LiteSpeed Cache > Page Optimization > CSS Settings (CVE-2026-113500). Тя кара браузъра да показва текста с резервен шрифт, докато истинският се зарежда. По подразбиране е изключена, но готовите набори Advanced (Recommended), Aggressive и Extreme от LiteSpeed Cache > Presets я включват.
Use CDN Mapping в LiteSpeed Cache > CDN > Other Static CDN (CVE-2026-113499). С нея плъгинът сменя адресите на картинките и файловете с адреса на CDN, включително в стиловете вътре в страницата. По подразбиране също е изключена.

Нападателят се нуждае и от публикуван коментар. Записите не описват друг път, така че сайт със затворени коментари е по-малко изложен. Те не уточняват дали екранирането на името зависи от темата, затова приемете, че всеки сайт със стара версия и включена настройка е уязвим.

Засегнат ли е Вашият сайт?

Версията се вижда в Plugins > Installed Plugins. В Terminal на cPanel командата по-долу показва версията на LiteSpeed Cache и дали плъгинът е активен. Как се работи с WP-CLI, е описано в ръководството за WP-CLI.

Bash

# cPanel > Terminal, в папката на сайта
# Само чете. Показва версията на LiteSpeed Cache.
wp plugin list --fields=name,status,version \
  --skip-plugins --skip-themes | grep -i litespeed

Ако версията е 7.9.2 или по-нова, тези две уязвимости вече са затворени. Ако е по-стара, отворете двете настройки от предишната част. Font Display Optimization е включена, когато превключвателят е на Swap, а Use CDN Mapping, когато е на ON.

Ако някоя от тях е включена, прегледайте и одобрените коментари. Следващата команда търси в имената на авторите текст като onmouseover= или onfocus=, с който в HTML се закача JavaScript.

Bash

# cPanel > Terminal, в папката на сайта
# Само чете. Одобрени коментари с подозрително име на автора.
wp comment list --status=approve \
  --fields=comment_ID,comment_post_ID,comment_author \
  --format=csv --skip-plugins --skip-themes \
  | grep -iE "on[a-z]+[[:space:]]*="

Празен отговор е добър знак, но не и доказателство, защото подробностите за атаката ще станат публични чак на 22 ноември.

Какво да направите

Направете бекъп на файловете и базата данни, както е описано в ръководството за бекъп. Версия 7.9.2 е голямо обновление. Освен двете поправки тя променя много неща в кеша и оптимизацията и маха настройката JS Delayed Includes. Ако имате копие на сайта в staging, пробвайте обновлението първо там.
Обновете LiteSpeed Cache до 7.9.2 или по-нова версия от Dashboard > Updates или от Plugins > Installed Plugins. След това отворете няколко страници, количката и страницата за поръчка и проверете, че всичко работи. Как да обновявате плъгините без изненади, е описано в ръководството за обновяване на плъгини.
Изчистете кеша. Според кода на 7.9.2 плъгинът сам изчиства кеша си при обновяване, но за всеки случай натиснете и Purge All в менюто на LiteSpeed в горната лента на администрацията. Ако пред сайта има още един кеш за страниците, например QUIC.cloud CDN или правило в Cloudflare, което кешира HTML, изчистете и него, защото в него може да са останали страници от старата версия.
Ако проверката открие подозрителен коментар, не отваряйте страницата му, докато сте влезли в администрацията. Изтрийте коментара от Comments, прегледайте Users за непознати администратори и сменете паролите на администраторите. Ако откриете следи от проникване, следвайте ръководството за хакнат сайт.

Какво правим ние

При наблюдението на уязвимостите следим какво е инсталирано на сайта Ви и всеки ден го сверяваме с базите данни с уязвимости (CVE). Щом се появи уязвимост в нещо, което използвате, изпращаме Ви сигнал и обновяваме, като първо пробваме обновлението на копие в staging. Сайтът може да е хостнат където и да е. Ако искате да включим и Вашия сайт, пишете ни през формата за запитване.

Често задавани въпроси

Какви уязвимости поправя LiteSpeed Cache 7.9.2?

Две уязвимости, CVE-2026-113500 и CVE-2026-113499, публикувани в NVD на 23 октомври 2026 г. Те позволяват на човек без акаунт да вмъкне JavaScript в страница (атака, известна като XSS), който после се изпълнява в браузъра на всеки посетител, включително на влязъл администратор. Засегнати са всички версии преди 7.9.2, а 7.9.2 излезе на 20 октомври 2026 г.

Засегнат ли е сайтът ми, ако не е на LiteSpeed сървър?

Може да е. Пълният кеш на страниците в LiteSpeed Cache иска сървър LiteSpeed или QUIC.cloud, но оптимизациите на страниците работят на всеки сървър, включително Apache и nginx. Затова и сайтове на друг хостинг могат да са засегнати.

Кои настройки на LiteSpeed Cache правят сайта уязвим?

Font Display Optimization в LiteSpeed Cache > Page Optimization > CSS Settings (CVE-2026-113500) и Use CDN Mapping в LiteSpeed Cache > CDN > Other Static CDN (CVE-2026-113499). И двете са изключени по подразбиране, но готовите настройки Advanced (Recommended), Aggressive и Extreme в LiteSpeed Cache > Presets включват Font Display Optimization. Сайтът е уязвим, ако е на версия преди 7.9.2 и поне една от двете е включена.

Трябват ли включени коментари за атаката в LiteSpeed Cache?

Да. Нападателят оставя коментар с подготвено име на автора и щом коментарът бъде публикуван, част от името става атрибут, който изпълнява JavaScript при отваряне на страницата. Записите не описват друг път, така че сайт със затворени коментари е по-малко изложен. Записите не казват дали изписването на името зависи от темата, затова приемете всеки сайт със стара версия и една от двете настройки за уязвим.

Какво може да направи нападателят с уязвимостта в LiteSpeed Cache?

Скрипт в браузъра на обикновен посетител може например да го прати към друг сайт. Скрипт в браузъра на влязъл администратор може да направи всичко, което администраторът може в wp-admin, включително да създаде нов потребител с пълни права. Двете уязвимости са с оценка 7.5 по CVSS, „висока“, а CISA оценява техническото въздействие като пълно.

До кога да обновя LiteSpeed Cache?

Преди 22 ноември 2026 г. Тогава WPScan ще публикува доказателството за концепцията и всеки ще може да види как работи атаката. Към 23 октомври CISA отбелязва в записите, че няма данни за атаки и че атаката не може да се автоматизира.

Какво да проверя след обновяване до LiteSpeed Cache 7.9.2?

Версия 7.9.2 е голямо обновление, което променя много в кеширането и оптимизацията и маха настройката JS Delayed Includes, затова първо направете бекъп. След обновяването отворете няколко страници, количката и поръчката. Натиснете Purge All в менюто LiteSpeed в лентата на админа и изчистете и кеша на QUIC.cloud CDN или Cloudflare, ако той пази HTML.

Какво да направя, ако не мога да обновя LiteSpeed Cache веднага?

Сложете Font Display Optimization на Default и Use CDN Mapping на OFF, после изчистете кеша. Текстът може да се появява малко по-късно, а изображенията ще се зареждат от Вашия сървър. Друга временна мярка е да отметнете Comment must be manually approved в Settings > Discussion и да не одобрявате коментари със странни имена, но нито едно от двете не замества обновяването.

Източници