W październiku 2026 roku ujawniono dwie poważne podatności w rozszerzeniach LiteSpeed Cache. Pierwsza dotyczy wtyczki dla WordPressa i może prowadzić do ujawnienia danych, a druga występuje w module dla PrestaShop i w określonych warunkach pozwala na wykonanie kodu na serwerze. Oba problemy zostały już poprawione.
Podatność CVE-2026-114190 we wtyczce LiteSpeed Cache for WordPress dotyczy buforowania REST API. Zagrożenie występuje przy jednoczesnym użyciu buforowania REST API, prostych bezpośrednich odnośników oraz zewnętrznej integracji, która korzysta z hasła aplikacji i wykonuje żądania z uprawnieniami administratora.
W takim scenariuszu odpowiedź API z danymi administratora może trafić do publicznej pamięci podręcznej. Dane mogą pozostać w niej nawet przez siedem dni, zależnie od konfiguracji. Automatyczne zadanie cron nie usuwa opisanego wpisu, dlatego po aktualizacji należy ręcznie wyczyścić całą pamięć podręczną.
LiteSpeed udostępnił poprawkę dla WordPressa 1 września 2026 roku w wersji 7.9.1. Producent zaleca aktualizację wszystkim użytkownikom wtyczki, niezależnie od używanej konfiguracji. Po instalacji warto użyć w panelu WordPress opcji „Purge All”.
Druga podatność, oznaczona jako PSV-2026-0001, dotyczy modułu LiteSpeed Cache dla PrestaShop. Problem znajduje się w mechanizmie ESI, który pozwala osobno przetwarzać i buforować fragmenty strony. PrestaShield ocenił zagrożenie na 9,8 w skali CVSS 3.1.
W wersjach starszych niż 1.6.2 brakowało odpowiedniej kontroli parametrów ESI. W określonych warunkach atakujący mógł wpłynąć na wybór szablonu i wywoływanych metod, a następnie wykonać kod na serwerze bez logowania. Poprawkę udostępniono 30 października 2026 roku.
Pojawiły się publiczne zgłoszenia dotyczące możliwego wykorzystania tej luki w sklepach korzystających z wersji 1.6.1. Wskazywano między innymi na nieautoryzowane konta administratorów oraz nieznane pliki PHP i moduły. LiteSpeed nie potwierdził tych doniesień, dlatego należy traktować je jako zgłoszenia potencjalnych incydentów.
Podstawowym działaniem jest aktualizacja modułu PrestaShop do wersji 1.6.2 lub nowszej. Sama aktualizacja usuwa podatność, ale nie usuwa złośliwego kodu, jeśli sklep został wcześniej zainfekowany. Po zmianie trzeba sprawdzić konta administratorów, moduły, pliki PHP oraz logi serwera i panelu sklepu.
Przed aktualizacją warto wykonać kopię zapasową. Po zmianie należy sprawdzić działanie strony lub sklepu, a w sklepie także koszyk, płatności i formularze. Przy podejrzeniu włamania trzeba unieważnić aktywne sesje zaplecza oraz zmienić hasła i inne dane uwierzytelniające.
Bezpieczne wersje to LiteSpeed Cache for WordPress 7.9.1 lub nowsza oraz LiteSpeed Cache dla PrestaShop 1.6.2 lub nowsza. Aktualizuj również samego WordPressa lub PrestaShop, a także pozostałe wtyczki i moduły. Sam serwer LiteSpeed nie oznacza podatności, ponieważ opisane problemy dotyczą konkretnych rozszerzeń.
Po wdrożeniu poprawek warto obserwować logi i sprawdzić, czy nie pojawiły się nieznane konta, pliki lub moduły. Jeśli znajdziesz takie zmiany, potraktuj je jako możliwy incydent i przeprowadź dokładniejszą analizę strony albo sklepu.