LiteSpeed Cache to jedno z popularnych rozwiązań przyspieszających strony internetowe. Korzystają z niego zarówno właściciele blogów i stron firmowych, jak i sklepów internetowych. Niestety, w ostatnich tygodniach ujawniono kilka podatności, które w określonych warunkach mogą zagrozić bezpieczeństwu witryn opartych na WordPressie i PrestaShop.

Problemy dotyczą między innymi nieprawidłowego udostępniania danych zapisanych w pamięci podręcznej oraz mechanizmu, który może pozwolić na uruchomienie nieautoryzowanego kodu. Dobra wiadomość jest taka, że producent przygotował już odpowiednie poprawki.

Jeśli korzystasz z LiteSpeed Cache, sprawdź, czy masz aktualną wersję rozszerzenia. Wyjaśniamy, jakie zagrożenia wykryto, kto powinien zwrócić na nie szczególną uwagę i jak przeprowadzić aktualizację bez niepotrzebnego ryzyka.

W tym artykule:

• Jakie luki wykryto w LiteSpeed Cache?
• Jakie zagrożenia dotyczą WordPressa?
• Dlaczego podatność w PrestaShop jest szczególnie niebezpieczna?
• Jak sprawdzić wersję i zaktualizować rozszerzenie?
• Co zrobić po aktualizacji?
• Najczęściej zadawane pytania

Jakie luki bezpieczeństwa wykryto w LiteSpeed Cache?

LiteSpeed Cache odpowiada przede wszystkim za optymalizację wydajności witryny. Mechanizm cache przechowuje wcześniej przygotowane odpowiedzi serwera, dzięki czemu nie trzeba za każdym razem generować całej strony od początku. To rozwiązanie pozwala ograniczyć obciążenie serwera i przyspieszyć ładowanie witryny.

Właśnie dlatego tak istotne jest prawidłowe oddzielenie danych publicznych od informacji przeznaczonych dla konkretnych użytkowników. Błąd w mechanizmie buforowania może sprawić, że niektóre odpowiedzi zostaną udostępnione osobom, które nie powinny mieć do nich dostępu.

W przypadku ostatnich podatności zagrożenia są jednak różne. Część dotyczy nieuprawnionego dostępu do danych, inne możliwości uruchomienia szkodliwego skryptu lub kodu.

Ważne: WordPress i PrestaShop korzystają z oddzielnych rozszerzeń LiteSpeed Cache. Nie należy porównywać ich numeracji wersji. Sam fakt korzystania z serwera LiteSpeed nie oznacza również, że witryna jest podatna na opisane błędy.

WordPress i LiteSpeed Cache. Jakie dane mogą być zagrożone?

Jeśli masz stronę opartą na WordPressie, szczególną uwagę zwróć na wersję zainstalowanej wtyczki. W ostatnich komunikatach bezpieczeństwa LiteSpeed opisał kilka różnych problemów. Nie wszystkie dotyczą każdej witryny, ponieważ ich wykorzystanie wymaga określonej konfiguracji lub dodatkowych warunków.

Ujawnienie danych przez REST API – CVE-2026-114190

Pierwsza podatność została opisana przez LiteSpeed 28 października 2026 roku, chociaż odpowiednia poprawka była już dostępna od 1 września. Błąd oznaczony jako CVE-2026-114190 dotyczył sposobu przechowywania odpowiedzi REST API w pamięci podręcznej.

REST API umożliwia WordPressowi wymianę informacji z innymi aplikacjami, na przykład z systemem mobilnym, narzędziem administracyjnym lub zewnętrzną integracją. Niektóre z tych połączeń mogą korzystać z uprawnień administratora.

Problem pojawiał się przy jednoczesnym wystąpieniu kilku warunków:

• Włączone było buforowanie REST API w LiteSpeed Cache.
• WordPress korzystał z prostego formatu bezpośrednich odnośników (Plain Permalinks).
• Zewnętrzna integracja wykonywała uprzywilejowane zapytania REST API, uwierzytelniając się hasłem aplikacji bez używania ciasteczek sesyjnych.

W takiej konfiguracji odpowiedź przeznaczona dla administratora mogła zostać umieszczona w publicznym cache. W konsekwencji jej zawartość mogła być dostępna również dla osoby niezalogowanej.

Problem usunięto w wersji 7.9.1. Producent zaleca również ręczne opróżnienie całej pamięci podręcznej po aktualizacji. Szczegóły znajdziesz w oficjalnym komunikacie LiteSpeed.

Dane klientów WooCommerce – CVE-2026-93389

Kolejny problem został publicznie opisany 4 listopada 2026 roku. Tym razem zagrożenie dotyczy sklepów WooCommerce korzystających z mechanizmu cache REST API.

W określonych warunkach niezalogowana osoba mogła otrzymać odpowiedź zawierającą dane koszyka lub procesu zamówienia należące do innego klienta. Wśród potencjalnie ujawnionych informacji znajdowały się imię i nazwisko, adres, numer telefonu, adres e-mail, zawartość koszyka, a także dane sesyjne związane z koszykiem i finalizacją zakupu.

Podatność otrzymała oznaczenie CVE-2026-93389, a jej poprawka została udostępniona w LiteSpeed Cache 7.9.2. Producent opisał warunki występowania problemu w komunikacie z 4 listopada.

Stored XSS – CVE-2026-109215

W ostatnich poprawkach znalazło się także zabezpieczenie przed podatnością Stored XSS, oznaczoną jako CVE-2026-109215. Dotyczyła ona określonych konfiguracji optymalizacji obrazów i sytuacji, w których użytkownicy z niższymi uprawnieniami mogli publikować treści zawierające grafiki.

Wykorzystanie takiego błędu mogło doprowadzić do uruchomienia złośliwego JavaScriptu w przeglądarce osoby odwiedzającej przygotowaną przez atakującego stronę. Szczególnie niebezpieczna byłaby sytuacja, w której taką stronę otworzyłby zalogowany administrator.

Również ten problem został naprawiony w wersji 7.9.2. Możesz przeczytać więcej w informacji producenta.

Jaką wersję zainstalować? Na 5 listopada 2026 roku w oficjalnym repozytorium WordPress dostępna jest wersja LiteSpeed Cache 7.9.3. Zalecamy korzystanie z najnowszego stabilnego wydania, zamiast zatrzymywania się na pierwszej wersji zawierającej poprawkę konkretnej luki. Aktualne informacje znajdziesz na stronie wtyczki w WordPress.org.

PrestaShop i podatność ESI. Dlaczego zagrożenie jest poważne?

Właściciele sklepów korzystających z PrestaShop również powinni sprawdzić zainstalowaną wersję modułu LiteSpeed Cache. W tym przypadku problem nie ogranicza się do możliwości ujawnienia danych.

Podatność PSV-2026-0001 została powiązana z mechanizmem ESI (Edge Side Includes), który umożliwia niezależne przetwarzanie fragmentów strony. Dzięki temu sklep może osobno obsługiwać na przykład wybrane elementy dynamiczne, bez konieczności ponownego generowania całej witryny.

W podatnych wersjach modułu zabrakło odpowiedniej kontroli parametrów wykorzystywanych podczas obsługi żądań ESI. Osoba atakująca mogła manipulować nimi w sposób pozwalający wpływać na wykonywane operacje i wybór szablonów Smarty. W określonych warunkach otwierało to drogę do zdalnego wykonania kodu na serwerze bez wcześniejszego logowania.

Co to oznacza w praktyce? Potencjalnie możliwe staje się wprowadzenie nieautoryzowanych zmian w plikach sklepu, instalowanie szkodliwego oprogramowania lub ingerencja w jego działanie.

Serwis PrestaShield ocenił zagrożenie na 9,8/10 w skali CVSS 3.1. Jest to niezależna ocena PrestaShield, a oznaczenie PSV-2026-0001 nie jest numerem CVE.

W publicznych zgłoszeniach pojawiły się także informacje o możliwych atakach na sklepy korzystające z wersji 1.6.1, w tym o nieznanych kontach administratorów i podejrzanych plikach PHP. Producent LiteSpeed nie potwierdził jednak tych doniesień, dlatego nie należy traktować ich jako potwierdzonej skali wykorzystania podatności.

Rozwiązanie: aktualizacja modułu LiteSpeed Cache dla PrestaShop do wersji 1.6.2 lub nowszej. Poprawka została opublikowana 30 października 2026 roku. Więcej informacji znajdziesz w analizie PrestaShield oraz w repozytorium LiteSpeed na GitHubie.

Jak sprawdzić wersję LiteSpeed Cache i bezpiecznie wykonać aktualizację?

Najważniejsze jest ustalenie, czy na Twojej stronie lub w sklepie działa podatna wersja rozszerzenia. Zanim rozpoczniesz aktualizację, warto zadbać o aktualną kopię zapasową plików i bazy danych.

Aktualizacja LiteSpeed Cache w WordPressie

Jeśli korzystasz z WordPressa, wykonaj poniższe czynności:

1. Zaloguj się do panelu administracyjnego WordPressa.
2. Przejdź do sekcji Wtyczki → Zainstalowane wtyczki.
3. Znajdź na liście LiteSpeed Cache i sprawdź numer wersji.
4. Jeśli dostępna jest aktualizacja, uruchom ją. W przypadku instalacji ręcznej korzystaj z oficjalnego repozytorium producenta.
5. Po zakończeniu aktualizacji przejdź do narzędzi LiteSpeed Cache i użyj funkcji Purge All, aby opróżnić pamięć podręczną.
6. Sprawdź poprawność działania witryny, formularzy, logowania oraz ewentualnych integracji zewnętrznych.

Jeśli potrzebujesz dokładniejszej instrukcji, przeczytaj nasz poradnik jak bezpiecznie wykonać aktualizację WordPressa. Wyjaśniamy w nim również, jak przygotować kopię zapasową i sprawdzić kompatybilność rozszerzeń.

Osobom, które chcą lepiej poznać narzędzia pamięci podręcznej, polecamy także nasz materiał dotyczący zarządzania cache i funkcji czyszczenia we wtyczce LiteSpeed Cache.

Aktualizacja modułu w PrestaShop

W przypadku PrestaShop zalecamy zachowanie szczególnej ostrożności, zwłaszcza jeśli sklep obsługuje już zamówienia i płatności klientów.

1. Zaloguj się do panelu administracyjnego sklepu.
2. Otwórz sekcję zarządzania modułami i odszukaj LiteSpeed Cache.
3. Sprawdź numer wersji. Wszystkie wydania starsze niż 1.6.2 są objęte podatnością PSV-2026-0001.
4. Wykonaj kopię zapasową plików oraz bazy danych i pobierz bezpieczne wydanie modułu z oficjalnego źródła.
5. Przeprowadź aktualizację zgodnie z instrukcjami producenta modułu.
6. Wyczyść pamięć podręczną i przetestuj najważniejsze funkcje sklepu, w tym koszyk, płatności i proces składania zamówienia.

Jeśli sklep został wcześniej zmodyfikowany przez programistę lub korzysta z niestandardowych integracji, warto przeprowadzić aktualizację najpierw w środowisku testowym. Nie należy jednak odkładać niezbędnych poprawek bezpieczeństwa bez wyraźnej przyczyny.

Zaktualizowane rozszerzenie to nie wszystko. Co jeszcze warto sprawdzić?

Zainstalowanie poprawki usuwa znaną podatność w kodzie rozszerzenia, ale nie daje gwarancji, że strona nie została zaatakowana wcześniej. Jeżeli aplikacja przez dłuższy czas korzystała z podatnej wersji LiteSpeed Cache, warto wykonać dodatkową kontrolę.

Na szczególną uwagę zasługują następujące elementy:

• Konta administratorów. Zweryfikuj, czy na liście użytkowników nie pojawiły się nieznane konta lub nieoczekiwane zmiany uprawnień.
• Pliki aplikacji. Sprawdź, czy w katalogach strony nie znajdują się podejrzane skrypty PHP lub pliki zmienione bez Twojej wiedzy.
• Wtyczki i moduły. Przyjrzyj się rozszerzeniom, które zostały ostatnio dodane lub zmodyfikowane.
• Logi dostępu. Poszukaj nietypowych żądań, prób logowania i aktywności, których nie potrafisz wyjaśnić.
• Dane uwierzytelniające. Jeśli podejrzewasz naruszenie bezpieczeństwa, unieważnij podejrzane sesje i zmień hasła oraz potencjalnie ujawnione klucze dostępu.

Jeśli wykryjesz ślady włamania, zachowaj dostępne logi i kopie plików do analizy. Samo usunięcie jednego podejrzanego skryptu może nie rozwiązać problemu, jeżeli atakujący pozostawił dodatkowy mechanizm dostępu.

Warto również regularnie aktualizować pozostałe elementy aplikacji. Na naszym blogu opisujemy dobre praktyki zabezpieczania WordPressa i innych systemów CMS, które pomagają ograniczać ryzyko podobnych incydentów.

Czy warto nadal korzystać z LiteSpeed Cache?

Tak. Wykrycie podatności nie oznacza, że należy automatycznie rezygnować z danego rozwiązania. Znacznie ważniejsze jest to, w jaki sposób producent reaguje na zgłoszenia bezpieczeństwa, jak szybko udostępnia poprawki i czy użytkownicy instalują aktualizacje.

LiteSpeed Cache pozostaje przydatnym narzędziem do optymalizacji wydajności stron internetowych. W zenbox korzystamy z serwerów LiteSpeed, dlatego przygotowaliśmy również własne materiały poświęcone prawidłowej konfiguracji tego rozwiązania.

Jeśli chcesz dowiedzieć się, jak działa pamięć podręczna, od czego rozpocząć konfigurację i jakie ustawienia warto sprawdzić, zajrzyj do naszego cyklu poradników o LiteSpeed Cache oraz instrukcji instalacji wtyczki w WordPressie.

Najlepszą praktyką pozostaje połączenie aktualnego oprogramowania, przemyślanej konfiguracji pamięci podręcznej, regularnych kopii bezpieczeństwa i kontroli uprawnień użytkowników.

FAQ – bezpieczeństwo LiteSpeed Cache w WordPressie i PrestaShop

Podsumowanie. Nie odkładaj aktualizacji LiteSpeed Cache

Ostatnie zgłoszenia bezpieczeństwa LiteSpeed Cache przypominają, jak ważne jest regularne aktualizowanie wtyczek i modułów. Nawet jeśli strona działa prawidłowo, nie oznacza to, że nie korzysta z podatnego oprogramowania.

Jeśli masz WordPressa, zainstaluj najnowsze stabilne wydanie LiteSpeed Cache i wyczyść pamięć podręczną. Jeśli zarządzasz sklepem PrestaShop, upewnij się, że moduł LiteSpeed Cache działa w wersji co najmniej 1.6.2. W przypadku podejrzenia wcześniejszego ataku nie poprzestawaj na samej aktualizacji.

W zenbox dbamy o stabilne środowisko hostingowe, zapewniamy automatyczne kopie bezpieczeństwa oraz pomoc techniczną dostępną przez całą dobę. Pamiętaj jednak, że bezpieczeństwo strony wymaga również aktualizowania aplikacji i rozszerzeń, którymi zarządzasz.

Chcesz zapewnić swojej witrynie odpowiednie zaplecze techniczne? Poznaj naszą ofertę hostingu.