Luki bezpieczeństwa w LiteSpeed Cache dla WordPress i PrestaShop

Wykryto dwie poważne podatności w LiteSpeed Cache, popularnym rozwiązaniu przyspieszającym strony i sklepy internetowe. Pierwsza dotyczy wtyczki dla WordPressa i może prowadzić do ujawnienia poufnych danych. Druga występuje w module dla PrestaShop i w określonych warunkach może umożliwić atakującemu wykonanie kodu na serwerze.

Obie luki zostały już załatane przez producenta. Jeśli jednak korzystasz ze starszej wersji LiteSpeed Cache, Twoja strona lub sklep mogą być nadal narażone na atak.

Sprawdź, których wersji dotyczą podatności, jakie mogą mieć konsekwencje i co zrobić, aby zabezpieczyć swoją stronę.

Dwie podatności LiteSpeed Cache – co wykryto?

LiteSpeed Cache jest rozwiązaniem wykorzystywanym do optymalizacji stron internetowych. Pozwala przechowywać wybrane dane w pamięci podręcznej, dzięki czemu serwer nie musi generować ich od nowa przy każdym żądaniu użytkownika.

W październiku 2026 roku opublikowano informacje o dwóch różnych problemach bezpieczeństwa dotyczących LiteSpeed Cache:

• CVE-2026-114190 – WordPress. Podatność pozwalająca na ujawnienie danych dostępnych normalnie tylko dla administratora. Występuje w określonej konfiguracji pamięci podręcznej REST API.
• PSV-2026-0001 – PrestaShop. Krytyczna podatność w obsłudze ESI, która może umożliwić wykonanie kodu na serwerze bez wcześniejszego uwierzytelnienia.

Ważne jest to, że nie są to dwie luki w tej samej wtyczce. WordPress i PrestaShop korzystają z oddzielnych rozszerzeń LiteSpeed Cache. Dlatego również wersje zawierające poprawki są różne.

WordPress – podatność CVE-2026-114190 w LiteSpeed Cache

28 października 2026 roku LiteSpeed poinformował o podatności CVE-2026-114190 we wtyczce LiteSpeed Cache for WordPress. Problem został zgłoszony przez zespół Patchstack w sierpniu, a poprawkę udostępniono 1 września 2026 roku w wersji 7.9.1.

Luka dotyczy ujawnienia poufnych danych (Sensitive Data Exposure). W określonych warunkach osoba niezalogowana może uzyskać dostęp do informacji, które powinny być dostępne wyłącznie dla administratora.

Kiedy strona WordPress jest narażona?

Do wykorzystania podatności musi wystąpić kilka warunków jednocześnie:

• Włączone jest buforowanie REST API w LiteSpeed Cache.
• Strona korzysta z prostego formatu bezpośrednich odnośników (Plain Permalinks).
• Zewnętrzna integracja, np. aplikacja mobilna, system headless lub narzędzie do kopii zapasowych, uwierzytelnia się przy użyciu hasła aplikacji i wykonuje żądania REST API z uprawnieniami administratora, bez korzystania z ciasteczek sesyjnych.

W takiej sytuacji odpowiedź API zawierająca dane przeznaczone dla administratora może trafić do publicznej pamięci podręcznej. Osoba nieuprawniona może następnie pobrać te informacje bez logowania.

Według producenta dane mogą pozostawać w pamięci podręcznej przez okres określony w konfiguracji REST API Cache, domyślnie nawet przez 7 dni. Co istotne, automatyczne czyszczenie wykonywane przez cron nie usuwa problematycznego wpisu w opisanym scenariuszu. Konieczne jest ręczne wyczyszczenie całej pamięci podręcznej.

Jak zabezpieczyć WordPress?

Rozwiązaniem jest aktualizacja LiteSpeed Cache do wersji 7.9.1 lub nowszej. Producent zaleca aktualizację wszystkim użytkownikom wtyczki, niezależnie od tego, czy ich witryna korzysta z konfiguracji umożliwiającej wykorzystanie podatności.

W panelu WordPress przejdź do sekcji Wtyczki → Zainstalowane wtyczki, znajdź LiteSpeed Cache i sprawdź dostępną aktualizację. Po instalacji poprawki warto również wykonać ręczne czyszczenie całej pamięci podręcznej za pomocą opcji Purge All.

Więcej informacji znajduje się w oficjalnym komunikacie LiteSpeed dotyczącym CVE-2026-114190.

PrestaShop – krytyczna podatność PSV-2026-0001

Drugi problem dotyczy modułu LiteSpeed Cache dla PrestaShop. Informacje o luce zostały opublikowane 30 października 2026 roku w bazie PrestaShield pod oznaczeniem PSV-2026-0001.

Podatność otrzymała ocenę 9,8 na 10 punktów w skali CVSS 3.1, co oznacza zagrożenie o krytycznym poziomie. Jest to ocena przygotowana przez PrestaShield, a nie oficjalny wynik przypisany do numeru CVE.

Problem dotyczy wszystkich wersji modułu LiteSpeed Cache dla PrestaShop starszych niż 1.6.2. Poprawka została udostępniona przez LiteSpeed 30 października 2026 roku.

Na czym polega podatność?

Luka znajduje się w mechanizmie ESI (Edge Side Includes), który pozwala niezależnie przetwarzać i buforować wybrane fragmenty strony.

W podatnych wersjach modułu brakowało odpowiedniej kontroli parametrów przekazywanych do mechanizmu ESI. Atakujący mógł manipulować tymi danymi i wpływać na wybór szablonu Smarty oraz uruchamianych metod modułu.

W określonych warunkach mogło to doprowadzić do zdalnego wykonania kodu na serwerze bez konieczności logowania.

To poważne zagrożenie dla sklepu internetowego, ponieważ wykorzystanie takiej podatności może pozwolić napastnikowi na wprowadzenie złośliwego kodu, zmianę działania sklepu lub uzyskanie nieautoryzowanego dostępu.

Czy odnotowano próby wykorzystania luki?

Według PrestaShield pojawiły się publiczne zgłoszenia dotyczące możliwego wykorzystania podatności w sklepach korzystających z wersji 1.6.1. Opisywane przypadki obejmowały m.in. tworzenie nieautoryzowanych kont administratorów oraz instalowanie nieznanych plików PHP i modułów.

LiteSpeed nie potwierdził jednak tych doniesień. Należy więc traktować je jako zgłoszenia potencjalnych incydentów, a nie dowód na potwierdzoną skalę ataków.

Niezależnie od tego sama podatność jest poważna, a producent wydał nadzwyczajną aktualizację bezpieczeństwa. Warto więc sprawdzić wersję modułu i nie odkładać instalacji poprawki.

Jak zabezpieczyć sklep PrestaShop?

Podstawowym działaniem jest aktualizacja modułu LiteSpeed Cache do wersji 1.6.2 lub nowszej. W tej wersji producent wprowadził dodatkowe zabezpieczenia parametrów ESI, weryfikację ich autentyczności oraz filtrowanie nieprawidłowych wartości.

Warto pamiętać, że sama aktualizacja usuwa podatność, ale nie usuwa złośliwego kodu, jeśli sklep został już wcześniej zainfekowany.

Dlatego po aktualizacji należy:

• Sprawdzić listę kont pracowników i administratorów sklepu.
• Zweryfikować ostatnio zainstalowane lub zmienione moduły.
• Przejrzeć pliki PHP pod kątem nieznanych lub podejrzanych zmian.
• Sprawdzić logi serwera i panelu sklepu pod kątem nietypowej aktywności.
• W razie podejrzenia włamania unieważnić aktywne sesje zaplecza oraz zmienić hasła i inne dane uwierzytelniające.

Jeśli wykryjesz nieautoryzowane zmiany, potraktuj sytuację jako potencjalne naruszenie bezpieczeństwa i przeprowadź dokładniejszą analizę sklepu. Usunięcie samego podejrzanego pliku może nie wystarczyć, jeśli atakujący uzyskał dodatkowy dostęp.

Szczegóły dotyczące podatności opisano w komunikacie PrestaShield. Aktualizacja jest dostępna również w oficjalnym repozytorium LiteSpeed Cache dla PrestaShop.

Korzystasz z LiteSpeed Cache? Sprawdź aktualizacje

Obie podatności zostały już usunięte w aktualizacjach producenta. Najważniejsze jest więc sprawdzenie, czy Twoja strona korzysta z odpowiedniej wersji rozszerzenia.

Aktualizacja rozszerzenia to podstawowy krok, ale równie ważne jest regularne aktualizowanie samego WordPressa lub PrestaShop oraz pozostałych wtyczek i modułów.

Przed większymi zmianami warto również przygotować kopię zapasową strony. Jeśli prowadzisz sklep, sprawdź później działanie koszyka, płatności i formularzy. Więcej wskazówek znajdziesz w poradniku Bezpieczna aktualizacja PrestaShop – jak to zrobić?.

LiteSpeed Cache – zadbaj o bezpieczeństwo

Wykryte podatności pokazują, że nawet popularne rozwiązania do optymalizacji wydajności mogą zawierać błędy bezpieczeństwa. W przypadku WordPressa problem dotyczył możliwości ujawnienia poufnych danych przez REST API. W PrestaShop luka była poważniejsza i mogła umożliwić zdalne wykonanie kodu bez uwierzytelnienia.

Obie podatności zostały już załatane. Jeśli korzystasz z LiteSpeed Cache, sprawdź wersję wtyczki lub modułu i zainstaluj aktualizację. Szczególną uwagę należy zwrócić na sklepy PrestaShop, gdzie oprócz aktualizacji warto zweryfikować, czy nie doszło wcześniej do nieautoryzowanych zmian.

Zadbaj o bezpieczeństwo swojej strony lub sklepu. Regularne aktualizacje, kopie zapasowe i odpowiednio dobrane środowisko hostingowe pomagają ograniczać skutki błędów i incydentów bezpieczeństwa.