摘要：CVE-2026-54420 是 LiteSpeed cPanel 插件（以 LiteSpeed WHM PlugIn 5.3.2.0 之前版本分发）中存在的 UNIX 符号链接跟随漏洞，CVSS 评分为 8.5，定级为高危。攻击者仅需拥有共享服务器上普通用户的 FTP 或 Web Shell 权限，即可通过构造恶意 symlink，诱使以更高权限运行的 LiteSpeed/WHM 插件在 CloudLinux/CageFS 隔离边界之外执行文件读写。CISA 已将 CVE-2026-54420 列入 Known Exploited Vulnerabilities（KEV）目录，并确认 2026 年 5 月已出现在野利用。

📌 漏洞概述

CVE-2026-54420 影响 LiteSpeed cPanel 插件 2.4.8 之前版本，以及对应的 LiteSpeed WHM PlugIn 5.3.2.0 之前版本。该漏洞类型为 UNIX Symbolic Link Following，属于典型的 “文件系统逻辑漏洞”。在共享主机环境中，LiteSpeed cPanel 插件通常以 root 或高权限服务账号运行，用于管理 Web 服务器配置、虚拟主机文档根目录、缓存目录、日志和 PHP 进程入口等。由于插件在处理用户可控路径时未正确校验符号链接，攻击者可以利用 FTP 或 Web Shell 写入一个指向宿主机敏感文件的 symlink，并在插件执行文件操作时触发该链接解析。

该漏洞的严重性在于：它突破了 CloudLinux/CageFS 的隔离模型。CageFS 能够限制普通用户直接看到宿主机文件系统，但无法阻止用户在自己的可写目录中创建符号链接。当高权限插件进程在宿主机命名空间中解析这些 symlink 时，内核会透明地跟随链接指向绝对路径，导致隔离机制被绕过。CISA KEV 目录的收录和“在野利用”记录表明，该漏洞已被真实攻击者利用，而不是仅停留在理论分析层面。

🔬 漏洞根因分析

CVE-2026-54420 的根因需要从共享主机权限模型和 LiteSpeed cPanel 插件的工作机制两个层面理解。在 CloudLinux/CageFS 环境中，每个租户用户都被放入一个隔离的“Cage”中，看到的是经过映射和过滤的目录视图。普通用户无法直接访问 /etc/shadow、/root、其他用户的 /home 目录等宿主机敏感路径。这种隔离依赖的是 mount namespace、chroot 和目录绑定，而不是对文件系统 API 的细粒度限制。

LiteSpeed cPanel 插件本身是宿主机级的管理组件，它需要遍历所有用户的主目录、虚拟主机配置和文档根目录，以便完成“同步配置、重建缓存、管理 .htaccess、处理 PHP 信息、统计磁盘使用量”等操作。这些操作如果由插件进程以 root 或高权限账号执行，则其权限域属于宿主机命名空间，而不是 CageFS。问题在于：插件在构造文件路径并调用 open()、stat()、unlink()、rename() 或文件读取函数时，没有对路径中的每一级做 symlink 检查和“真实路径必须处于允许的根目录内”的校验。

攻击者利用流程可以概括为：

• 攻击者获得共享服务器上普通用户的 FTP 权限或通过站点漏洞上传 Web Shell，从而可以在自己的 home 目录、public_html 或临时目录中自由创建文件/目录。
• 攻击者创建一个符号链接，例如将插件预期访问的某个缓存目录替换为指向 /etc/shadow、/root/.ssh/authorized_keys、其他用户的配置文件或数据库凭据文件的绝对路径。
• 攻击者通过 cPanel 中的 LiteSpeed 管理入口、自定义 cron 触发、访问特定 URL，或等待插件自动执行后台任务，让 LiteSpeed cPanel 插件处理包含恶意 symlink 的路径。
• 插件进程在宿主机命名空间中解析该 symlink，内核自动跟随链接到达宿主机上的目标文件。如果插件执行的是读操作，则敏感文件内容被读取；如果插件执行的是写操作，则攻击者可以覆盖目标文件内容。

从代码层面看，安全写法应使用 lstat() 拒绝符号链接，或使用 openat2() 配合 RESOLVE_NO_SYMLINKS、RESOLVE_BENEATH，也可以先通过 realpath() 比较解析后的绝对路径是否仍位于允许的基目录内。CVE-2026-54420 的漏洞点在于，LiteSpeed cPanel 插件 2.4.8 之前的版本显然没有做到这一点。它可能直接信任了来自用户目录的文件系统条目，或仅在应用层进行了简单过滤，而忽略了 UNIX 符号链接的绝对路径交叉。这种问题在共享主机中特别危险，因为“普通用户能写文件”是产品功能的合法预期，不能被当作前置缓解条件。

目前 Exploit-DB 中没有公开的完整武器化 EXP，GitHub 上出现的相关仓库多为修复脚本，例如调用 lsup.sh -f 升级 LiteSpeed、刷新 CageFS 并重启 lsws。这说明该漏洞在早期阶段主要以补丁规避为主，真正的攻击细节可能被攻击者保留，或在暗网/定向攻击中使用。没有公开 EXP 不代表漏洞不可利用，CISA 的 KEV 收录和“在野利用”证据表明实际利用链已经存在。

💥 影响与危害

该漏洞的核心危害是租户隔离突破。共享主机业务的信任边界是“每个账号只能管理自己的文件”，而 CVE-2026-54420 允许攻击者借由插件的高权限进程，将攻击者的文件操作投射到宿主机任意路径。

• 敏感信息泄露：攻击者可以读取 /etc/shadow、/root/.my.cnf、数据库密码、其他用户网站源码、环境变量、备份文件、Web 应用配置等。对于托管服务商而言，这可能造成大量客户凭据批量泄漏。
• 任意文件写入/覆盖：攻击者可以诱导插件写入目标文件，例如覆盖 /etc/cron.d/ 下的计划任务、写入 /root/.ssh/authorized_keys、修改系统启动脚本、篡改其他用户的 PHP 文件或 .htaccess，从而实现持久化。
• 宿主机 root 权限接管：如果插件进程以 root 运行，symlink 跟随可以被直接转化为宿主机 root 权限。攻击者一旦获得 root，CloudLinux/CageFS 完全失去意义，可以进一步控制整个物理宿主机上的所有虚拟机/租户。
• 供应链与横向移动：共享主机服务器往往托管大量高价值站点，攻击者拿到宿主机后可植入恶意代码、旁路流量、窃取数据库备份，甚至利用宿主机作为跳板进入内网其他管理节点。
• CISA 已确认在野利用：这意味着漏洞已不是实验室风险。漏洞被利用后可能导致服务器被完全控制，清除了日志的后门也往往难以第一时间发现。

虽然 CVSS 评分为 8.5，但在共享主机场景中，实际业务影响可能超过该分数所表达的严重性——因为一个普通虚拟主机账号被攻破，就可能导致整个物理节点乃至整个托管平台沦陷。

🛡️ 修复与缓解

LiteSpeed 已在以下版本中修复该漏洞：

• LiteSpeed cPanel 插件 2.4.8 及以上版本；
• LiteSpeed WHM PlugIn 5.3.2.0 及以上版本。

共享主机服务商应立即执行升级操作。参考当前公开的修复脚本，可以执行以下步骤完成基本加固：

• 运行 LiteSpeed 官方升级脚本：/usr/local/lsws/admin/misc/lsup.sh -f，或将 LiteSpeed WHM PlugIn 升级到 5.3.2.0；
• 如果服务器使用 CloudLinux/CageFS，修补后执行 cagefsctl --force-update 和 cagefsctl --remount-all，以刷新 CageFS 文件系统视图；
• 重启 LiteSpeed Web Server 服务，确保新版本插件完全加载；
• 检查插件版本是否已生效：rpm -qa | grep -Ei 'litespeed|lsws'；
• 根据 CISA BOD 26-04 和《Forensics Triage Requirements》要求，对暴露在互联网的共享主机资产进行评估，若产品无法升级，应考虑停止使用或限制管理接口访问。

在完成补丁部署后，还应进行受影响主机排查。建议重点检查：

• 用户 home 目录、public_html、域名的 document root、缓存目录中是否出现指向 /etc、/root、/home/* 的异常 symlink；
• LiteSpeed 插件日志、cPanel 访问日志、文件监控日志中是否存在异常的路径穿越或文件访问行为；
• 是否存在包含 Web Shell 的租户账号，并通过时间线关联 Web Shell 出现与文件系统异常修改事件；
• 检查 /root/.ssh/authorized_keys、/etc/cron.d/、/etc/ld.so.preload、系统服务文件等持久化位置是否被篡改。

对于已经确认被攻击的宿主机，不应只删除恶意 symlink，而应按照 CISA 的取证分流指南保留证据并完整重建宿主机。由于攻击者可能已获得 root 权限，任何仅做表面清理的操作都可能导致隐藏后门残留。共享主机服务商还应当启用内核级文件系统审计、限制高权限插件进程可访问的目录范围，并为后续软件选型增加“symlink 安全处理”的代码审计要求。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言sh来源Resellnom/litespeed-cpanel-cve-2026-54420-fix针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

#!/bin/bash
set -e

echo "[+] Starting CVE-2026-54420 mitigation"

if [ ! -d "/usr/local/lsws" ];then
  echo "[-] LiteSpeed not found"
  exit 1
fi

echo "[+] Updating LiteSpeed..."
/usr/local/lsws/admin/misc/lsup.sh -f ||true

echo "[+] Refreshing CageFS (if present)..."
if command -v cagefsctl >/dev/null 2>&1;then
  cagefsctl --force-update ||true
  cagefsctl --remount-all ||
true
fi

echo "[+] Restarting LiteSpeed..."
systemctl restart lsws

echo "[+] Current versions:"
rpm -qa |grep -Ei 'litespeed|lsws' ||true

echo "[+] Mitigation completed"

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

当前规则库未收录针对该 CVE 的专用检测规则。建议：

• 根据漏洞根因编写 Nuclei 检测模板
• 在 WAF/IDS 中配置针对漏洞特征的规则
• 关注漏洞指纹库更新

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-10 14:10 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库