LiteSpeed cPanel 플러그인 심볼릭 링크 처리 취약점 (CVE-2026-54420) 분석 및 대응 가이드

1. 공식 보안 패치 적용

가장 확실한 해결책은 LiteSpeed WHM 플러그인을 최신 버전으로 업데이트하는 것입니다. WHM 콘솔 또는 CLI를 통해 업데이트를 수행할 수 있습니다.

# WHM/cPanel 서버에서 LiteSpeed 플러그인 업데이트 수행
/usr/local/cpanel/3rdparty/bin/perl /usr/local/cpanel/whostmgr/docroot/cgi/lsws/lsws_cmd.pl --update

업데이트 완료 후, LiteSpeed cPanel 플러그인 버전이 2.4.8 이상이고 WHM 플러그인 버전이 5.3.2.0 이상인지 확인하십시오.

2. 임시 완화 조치 (패치 적용 전)

즉각적인 패치가 어려운 경우, 아래의 완화 조치를 검토하십시오.

• 심볼릭 링크 보호 활성화: Apache/LiteSpeed 설정에서 FollowSymLinks 대신 SymLinksIfOwnerMatch 옵션을 강제 적용하여 소유자가 일치하는 경우에만 링크를 허용하도록 제한합니다.
• CageFS 격리 강화: CloudLinux 환경에서 CageFS 템플릿을 재빌드하고 사용자 격리 정책을 재점검합니다.

  cagefsctl --force-update

• 비인가 웹셸 탐지: 서버 내 업로드 디렉터리 및 사용자 홈 디렉터리를 대상으로 웹셸 탐지 도구(예: Maldet, Imunify360)를 실행하여 악성 스크립트의 존재 여부를 점검합니다.

본 취약점(CVE-2026-54420)은 CloudLinux 및 CageFS가 적용된 공유 호스팅 환경에서 LiteSpeed cPanel 플러그인이 사용자 제공 심볼릭 링크를 안전하게 검증하지 못해 발생하는 심볼릭 링크 처리 취약점(CWE-61)입니다.

공유 호스팅 환경의 특성상 여러 사용자가 동일한 서버 자원을 공유합니다. FTP 또는 웹셸 액세스 권한을 가진 악의적인 사용자가 특정 시스템 파일이나 타 사용자의 데이터 영역을 가리키는 심볼릭 링크를 생성할 경우, 높은 권한으로 실행되는 LiteSpeed 플러그인이 이 링크를 그대로 따라가(Follow) 작업을 수행하게 됩니다. 이로 인해 격리 환경(CageFS)을 우회하여 권한 상승(Privilege Escalation) 및 임의 파일 읽기/쓰기가 가능해지며, 궁극적으로 서버 전체의 제어권을 탈취할 수 있습니다.

특히 본 취약점은 2026년 5월에 실제 야생(In-the-Wild)에서 악용된 사례가 확인되어 CISA KEV(Known Exploited Vulnerabilities) 목록에 등재되었으며, EPSS 점수가 0.94(94%)에 달할 정도로 실질적인 위협 수준이 매우 높습니다.