LiteSpeed는 공유 호스팅의 root 탈출을 고쳤다. 다만 번호는 붙이지 않았다

9월 11일 LiteSpeed Technologies는 LiteSpeed Web Server Enterprise 6.3.7 버전을 출시했다. 릴리스 로그에는 SECURITY로 표시된 세 줄이 들어 있는데, 새로 추가된 양자내성 암호 옵션과 서버의 Node.js 프로세스 처리 방식을 고친 항목 사이에 끼어 있다. 사흘 뒤 cPanel이 권고문을 내면서 그중 최소한 한 줄이 무엇을 위한 것이었는지 드러났다. 권한이 낮은 호스팅 계정이 자기 계정 밖으로 빠져나와 그 서버에서 root를 획득할 수 있게 하는 권한 상승 취약점이다.

이 결함에는 아직 CVE 식별자가 없다. 심각도 점수도 없다. 실제로 누군가를 상대로 사용된 적이 있는지에 대해서는 두 회사 어느 쪽도 말하지 않았다.

영향을 받는 범위

cPanel의 권고문은 그 결과를 담담하게 적고 있다. 해당 서버에 일반 호스팅 계정 하나를 가진 공격자가 이 결함을 이용해

같은 서버에 호스팅된 다른 웹사이트와 서버 자체에 접근하거나 이를 변경할

수 있다는 것이다.

이 결함은 CloudLinux의 계정별 파일시스템 격리 장치인 CageFS도 무력화한다. CageFS는 한 고객이 다른 고객의 파일에 손대지 못하도록 대부분의 공유 호스팅 업체가 의지하는 통제 수단이다. 어떤 방식으로 뚫리는지는 두 회사 모두 설명하지 않았고, 변경 이력에 적힌 항목들 — lscgid 요청 인증 강화, 내부 리다이렉트 URL 검증 강화, .htaccess에서 설정되는 내부용 환경 변수 차단 — 중 어느 것이 이 문제를 막는지도 밝히지 않았다.

이 부류의 결함이 점수보다 나쁜 이유

W3Techs의 2026년 9월 통계에 따르면 웹 서버를 식별할 수 있는 전체 웹사이트 가운데 14.6%가 LiteSpeed를 쓴다. 이 점유율은 고르게 퍼져 있지 않다. LiteSpeed Enterprise는 Apache를 그대로 대체하는 제품으로 주로 호스팅 업체에 팔리며, 그 무게중심은 정확히 이 결함이 위험해지는 환경에 있다. 물리 서버 한 대가 서로 무관한 수백에서 수천 명의 고객을 얹고, 그들을 소프트웨어만으로 격리하는 환경이다.

이 구조에서는 계정 경계가 보안 모델의 전부다. 그 경계를 넘는 취약점은 사이트 하나를 침해하는 데 그치지 않는다. 그 서버에 올라간 모든 사이트와 거기 놓인 자격 증명, 데이터베이스, 백업까지 함께 침해한다. 게다가 입장료가 싸다. 공격자는 관리자를 피싱할 필요도, 외부에 노출된 관리 포트를 찾을 필요도 없다. 취약한 업체에서 호스팅 계정 하나를 사면 된다. 몇 달러면 되고, 그 단계에는 어떤 공격도 필요 없다.

또한 이것은 올해 cPanel 서버에서 LiteSpeed 스택을 거쳐 root에 이르는 세 번째 경로이기도 하다. 5월의 CVE-2026-48172와 6월의 CVE-2026-54420은 모두 LiteSpeed의 cPanel 플러그인을 노렸고, 둘 다 실제로 악용됐으며, 둘 다 CISA의 Known Exploited Vulnerabilities 목록에 올랐다. 9월의 결함은 제어판 주변의 연결 부위가 아니라 웹 서버 본체에서 나온 첫 사례다. 즉 '플러그인을 제거하거나 제한한다'는 작은 완화책은 쓸 수 없다. 취약한 구성 요소가 바로 페이지를 서비스하는 소프트웨어 자체이기 때문이다.

진짜 쟁점은 공개 방식이다

쓸 가치가 있는 것은 결함 자체가 아니다. 그 내용은 두 회사 밖의 누구도 본 적이 없다. 쟁점은 그것이 어떤 방식으로 세상에 나왔는가다.

LiteSpeed는 활발한 보안 블로그를 운영한다. 8월 27일에는 WordPress용 캐시 플러그인의 크로스사이트 스크립팅 두 건을 각각 CVE와 함께 올렸고, 9월 2일에는 Patchstack이 보고한 서버 사이드 요청 위조 문제를 올렸다. 모두 실재하지만 사소한 문제다. 주력 상용 웹 서버에서 테넌트 경계를 넘어 root를 내주는 문제에는 그중 무엇도 없었다. 블로그 글도, 식별자도, 자체 권고문도 없었다. 관리자에게 경고가 닿은 것은 cPanel이 글을 쓰기로 했기 때문이다.

CVE가 없으면 이 결함은 업계가 바로 이런 상황을 위해 구축해 온 장치에 사실상 보이지 않는다. 취약점 스캐너는 식별자를 기준으로 작동한다. 패치 관리 시스템도, 컴플라이언스 보고도, 보험사 질의서도, CISA의 KEV 목록도 마찬가지다. 오늘 호스팅 사업자가 자산을 점검해도 이 문제는 어디에도 나오지 않는다. 목록에 올릴 대상 자체가 없기 때문이다. 앞선 두 건의 LiteSpeed 결함이 그 장치에 포착된 것도 번호가 붙은 뒤였고, 두 경우 모두 이미 악용이 시작된 뒤였다.

악용에 대해 침묵한다는 것이 악용이 없다는 증거도 아니다. 이 스택의 앞선 두 건은 모두 실제 공격에 쓰이고 있던 것으로 밝혀졌다. 널리 배포된 호스팅 플랫폼에서 구매한 계정으로 root를 얻을 수 있는 결함은, 이런 것을 대규모로 훑고 다니는 이들에게 거의 이상적인 표적이다. 그리고 조용한 패치와 cPanel 권고문 사이에 벌어진 사흘은, 수정본은 공개되어 있는데 경고는 없던 사흘이다.

무엇을 해야 하나

LiteSpeed Enterprise를 운영한다면 6.3.7로 업데이트할 것. LiteSpeed가 문서화한 업그레이드 경로는 /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7이다. 9월 14일에 6.4.0 RC2가 나왔지만, 운영 중인 호스팅 환경에서 손을 뻗을 수정본은 릴리스 후보 버전이 아니다.

사업자가 아니라 이용자라면, 솔직히 말해 직접 확인할 방법은 없다. 그러니 묻는 것이 합당하다. 자사의 LiteSpeed 버전과 패치 시점을 답할 수 있는 호스팅 업체는 주의를 기울이고 있는 업체다. 업데이트 후 운영자는 패치를 결론이 아니라 출발점으로 삼고 해당 서버의 CGI 활동과 로깅을 점검해야 한다. 이 결함이 언제부터 악용 가능했는지, 실제로 사용된 적이 있는지를 뒷받침하는 정보는 지금까지 어디에도 공개되지 않았다.

Sources: LiteSpeed Web Server release log · The Hacker News: LiteSpeed Enterprise Flaw Could Let One Hosting Account Gain Root Access on a Shared Server · LowEndTalk: 14 Sep 2026 — LiteSpeed Enterprise security advisory (URGENT) · The Hacker News: CISA Flags LiteSpeed cPanel Plugin Flaw Exploited for Root Privilege Escalation · Security Affairs: CISA adds Cisco Catalyst and LiteSpeed cPanel plugin flaws to its KEV catalog · Cyber Security Agency of Singapore: Critical Vulnerability in LiteSpeed User-End cPanel Plugin · LiteSpeed blog · W3Techs: Usage statistics of LiteSpeed