기업용 웹 서버 소프트웨어인 LiteSpeed Web Server Enterprise에서 심각한 보안 취약점이 발견됐습니다. 공유 호스팅 서버에서 일반 계정 권한만 가진 공격자가 이 취약점을 악용하면 서버 전체의 최고 관리자 권한(root)을 탈취해 다른 고객의 사이트 데이터에 무단으로 접근하거나 서버를 마음대로 조작할 수 있습니다. 이 취약점은 호스팅 계정 간 격리를 담당하는 보안 기능 CageFS도 우회할 수 있어 피해 범위가 매우 넓습니다. cPanel과 LiteSpeed는 자동 업데이트 배포가 지연될 수 있다며 6.3.7 버전으로 즉시 수동 업데이트할 것을 권고했습니다. 같은 소프트웨어 계열에서 올해 5~6월에도 유사한 취약점이 실제로 악용된 전례가 있어 빠른 대응이 요구됩니다.
LiteSpeed Web Server Enterprise 6.3.7 미만 버전에서 권한 상승 취약점이 발견됐습니다. 공유 호스팅 환경에서 낮은 권한의 일반 사용자 계정으로 서버의 root 권한을 획득할 수 있습니다.
공격자는 동일 서버에 호스팅된 다른 고객의 웹사이트 데이터에 접근하거나 변조할 수 있으며 서버 전체를 장악할 수 있습니다. 계정 간 파일시스템 격리를 제공하는 CageFS 보호도 우회됩니다.
LiteSpeed Web Server Enterprise 6.3.7 미만 버전의 구현 결함이 원인이며, 구체적인 취약점 메커니즘은 아직 공개되지 않았습니다. CVE 식별자 및 CVSS 심각도 점수도 미배정 상태입니다.
cPanel과 LiteSpeed 모두 '/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7' 명령으로 즉시 수동 업데이트할 것을 권고합니다. 자동 업데이트 배포에 지연이 예상되므로 수동 적용이 필수입니다.
임시 조치(워크어라운드)와 침해 여부 확인 지표(IoC)가 공개되지 않았으므로 즉시 업데이트가 불가한 서버는 모니터링을 강화해야 합니다. 6.4.0 RC1의 영향 여부는 미확인이며, OpenLiteSpeed에 대한 패치는 제공되지 않고 있습니다.
본문
Swati Khandelwal · 2026년 9월 15일 · 취약점 / 웹 보안
cPanel이 9월 14일 공개한 보안 권고문에 따르면, LiteSpeed Web Server Enterprise의 치명적 취약점으로 인해 권한이 낮은 웹사이트 사용자가 공유 호스팅 서버에서 root 권한을 획득할 수 있습니다.
권고문에 따르면, 공유 호스팅 서버에서는 여러 고객의 사이트가 단일 서버 위에서 운영되는데, 호스팅 계정 중 하나를 보유한 공격자가 이 취약점을 악용해 다른 사이트와 서버 자체에 접근하거나 내용을 변조할 수 있습니다.
cPanel은 이 취약점을 통보받았다고 밝히며, 영향받는 버전은 6.3.7 미만이라고 설명했습니다. 또한 LiteSpeed가 9월 11일 공개한 해당 릴리스로 업데이트할 것을 관리자들에게 촉구했습니다.
cPanel은 이 취약점이 호스팅 계정을 서로 격리하는 CageFS를 비롯한 각종 접근 제어를 우회할 수 있다고 밝혔습니다. CageFS는 CloudLinux의 도구로, 각 호스팅 계정에 제한된 파일시스템 뷰를 제공해 다른 계정이나 서버 설정 파일을 볼 수 없도록 합니다.
cPanel의 권고문과 LiteSpeed의 릴리스 노트 모두 취약점의 작동 방식을 설명하지 않고 있습니다. 6.3.7에 대한 LiteSpeed의 공지는 "보안 개선, 버그 수정 등!"이라는 표현만 담고 있으며, 체인지로그에는 세 가지 보안 변경 사항이 나열되어 있지만 권한 상승 취약점에 대한 언급은 없습니다. 어느 변경 사항이 해당 취약점을 수정하는지도 두 회사 모두 공개적으로 밝히지 않았습니다.
권고문에는 CVE 식별자와 심각도 점수가 없으며, 9월 15일 기준 공개된 CVE 기록에서도 해당 취약점과 관련된 항목은 발견되지 않았습니다. 권고문은 취약점이 실제로 악용됐는지 여부도 언급하지 않습니다.
cPanel과 LiteSpeed 모두 6.3.7을 즉시 설치하기 위한 동일한 명령을 제시합니다:
/usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7
수동 업데이트가 중요한 이유는 6.3.7이 자동으로 배포되지 않을 수 있기 때문입니다. LiteSpeed는 해당 릴리스가 자동 업데이트를 통해 제공되기까지 "다소 지연이 있을 수 있다"고 밝혔습니다.
9월 15일 기준 LiteSpeed 다운로드 페이지에는 6.3.6이 여전히 안정 릴리스로 표시되어 있으며, 세 가지 보안 변경 사항이 반영되지 않은 체인지로그를 가진 7월 사전 릴리스 빌드 6.4.0 (RC1)도 함께 제공되고 있습니다. cPanel의 권고문은 6.4.0 릴리스 후보 버전의 영향 여부에 대해서는 언급하지 않습니다.
LiteSpeed의 업데이트 문서에 따르면, 이 명령으로 특정 버전을 강제 설치하면 서버가 안정 업데이트 채널을 더 이상 따르지 않게 되며, 이후 touch /usr/local/lsws/autoupdate/follow_stable 명령을 실행해 자동 안정 업데이트를 재개할 수 있습니다.
cPanel의 권고문과 LiteSpeed의 릴리스 노트는 즉시 업데이트할 수 없는 서버를 위한 임시 조치나, 서버가 이미 공격을 받았는지 확인할 수 있는 침해 지표를 제공하지 않고 있습니다. 권고문은 Enterprise 에디션만을 명시하고 있으며, LiteSpeed의 오픈소스 서버인 OpenLiteSpeed에 대해서는 다루지 않습니다. 9월 15일 기준 LiteSpeed는 OpenLiteSpeed에 대한 관련 업데이트를 배포하지 않았습니다.
이번 취약점은 5월 이후 cPanel 서버의 LiteSpeed 소프트웨어에서 호스팅 계정에 root 권한을 부여하는 결함이 보고된 세 번째 사례이지만, 웹 서버 자체에서 발견된 것은 이번이 처음입니다.
5월과 6월에 LiteSpeed는 사용자용 cPanel 플러그인에서 두 가지 유사한 취약점인 CVE-2026-48172와 CVE-2026-54420을 공개하고, 두 취약점 모두 실제로 악용되고 있다고 밝히며 플러그인을 통해 수정했습니다. 이후 CISA(미국 사이버보안·인프라보안청)는 두 취약점을 알려진 악용 취약점 목록(KEV)에 등재했으며, The Hacker News는 이를 5월과 6월에 각각 보도했습니다.
The Hacker News는 이번 취약점과 관련해 LiteSpeed, cPanel, CloudLinux에 질의서를 발송했습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
