CVE-2026-54420-Mitigationstoolkit

Defensives Toolkit zur Behebung, Prüfung und Verifizierung für CVE-2026-54420, das das LiteSpeed-cPanel-Plugin in Shared-Hosting-Umgebungen mit CloudLinux / CageFS betrifft.

⚠️ Sicherheitshinweis Dieses Repository ist ausschließlich für Systemadministratoren, Hosting-Anbieter und defensive Sicherheitsforschung bestimmt. Es sind kein Exploit-Code, keine offensiven Werkzeuge und keine waffenfähigen Proof-of-Concept-Codes enthalten.

Über CVE-2026-54420

CVE-2026-54420 betrifft bestimmte Versionen des LiteSpeed-cPanel-Plugins / WHM-Plugins, bei denen die Symlink-Behandlung in Shared-Hosting-Umgebungen missbraucht werden kann.

In verwundbaren Konfigurationen kann ein Benutzer mit niedrigen Rechten (z. B. über ein kompromittiertes FTP-Konto, eine verwundbare Website oder eine Web-Shell) unter bestimmten Bedingungen versuchen, durch Symlink-Verhalten Rechte zu missbrauchen.

Dieses Toolkit hilft Administratoren dabei:

• Empfohlene Mitigations-Workflows anzuwenden
• Verdächtige Symlink-Aktivitäten zu prüfen
• Nach Indikatoren für eine Kompromittierung (IOCs) zu suchen
• Den Behebungsstatus zu verifizieren
• Die Reaktionszeit bei aktiver Ausnutzung zu verbessern

Betroffene Versionen

Verwundbare Versionen

• LiteSpeed cPanel Plugin < 2.4.8
• LiteSpeed WHM Plugin < 5.3.2.0

Empfohlene Versionen

Aktualisieren Sie auf:

• LiteSpeed cPanel Plugin ≥ 2.4.8
• LiteSpeed WHM Plugin ≥ 5.3.2.0

Bestätigen Sie dies stets anhand der offiziellen Sicherheitshinweise des Herstellers.

Funktionen

✅ Automatisierung der LiteSpeed-Mitigation ✅ Unterstützung für CageFS-Refresh und -Remount ✅ Erkennung verdächtiger Symlinks ✅ IOC-Suche bei Kompromittierung von Shared-Hosting-Umgebungen ✅ Verifizierungswerkzeuge ✅ Leichtgewichtige Bereitstellung auf Bash-Basis ✅ Hosting-Anbieter-freundlich

Repository-Struktur

CVE-2026-54420-Mitigation/
├── README.md
├── LICENSE
├── fix.sh
├── detect_symlinks.sh
├── hunt_iocs.sh
├── verify.sh
└── .github/
    └── workflows/
        └── shellcheck.yml

Installation

Klonen Sie das Repository:

git clone https://github.com/mahfuzreham/CVE-2026-54420-Mitigation.git
cd CVE-2026-54420-Mitigation

Machen Sie die Skripte ausführbar:

chmod +x *.sh

Schnellstart

1. Mitigation anwenden

Ausführen:

./fix.sh

Dies bewirkt Folgendes:

• LiteSpeed-Komponenten aktualisieren
• CageFS aktualisieren (falls installiert)
• Den LiteSpeed-Dienst neu starten
• Installierte Versionen anzeigen

2. Verdächtige Symlinks erkennen

./detect_symlinks.sh

Dies prüft auf potenziell verdächtiges Symlink-Verhalten außerhalb der erwarteten Kontopfade.

3. Indikatoren für eine Kompromittierung (IOC) suchen

./hunt_iocs.sh

Dies hilft, Folgendes zu identifizieren:

• Kürzlich geänderte PHP-Dateien
• Verdächtige Uploads
• Mögliche Webshell-Indikatoren
• Auffällige Cron-Einträge

4. Behebungsstatus verifizieren

./verify.sh

Dies bestätigt Folgendes:

• Den Dienststatus von LiteSpeed
• Installierte Paketversionen
• Den Zustand von CageFS

Empfohlene Administrator-Maßnahmen

Bei der Reaktion auf diese Schwachstelle:

1. Sofort patchen
2. Shared-Hosting-Konten prüfen
3. Kompromittierte Zugangsdaten rotieren
4. Geänderte PHP-Uploads überprüfen
5. Verdächtige Cron-Aktivitäten prüfen
6. CageFS-Isolation verifizieren
7. Zugriffsprotokolle überprüfen

Richtlinie zur defensiven Nutzung

Dieses Repository wird ausschließlich bereitgestellt für:

• Incident Response
• Defensive Systemadministration
• Härtung der Systemsicherheit (Security Hardening)
• Behebung von Infrastrukturproblemen

Nicht für:

• Unbefugten Zugriff
• Ausnutzung von Schwachstellen
• Offensive Aktivitäten
• Unterbrechung von Diensten

Die Nutzer sind dafür verantwortlich, die geltenden Gesetze und Vorschriften einzuhalten.

Mitwirken

Beiträge sind willkommen.

Vorgeschlagene Bereiche:

• Bessere Erkennungslogik
• Reduzierung von Fehlalarmen
• Kompatibilität mit mehreren Distributionen
• Leistungsverbesserungen
• Zusätzliche IOC-Abdeckung

Pull Requests sind willkommen.

Unterstützen Sie dieses Projekt ❤️

Wenn dieses Toolkit dazu beigetragen hat, Ihre Infrastruktur zu sichern, oder Sie bei der Incident Response unterstützt hat, erwägen Sie bitte, die kontinuierliche Wartung und die Open-Source-Sicherheitsforschung zu unterstützen.

☕ Unterstützen Sie ReselNom

Sichere Spende

ShurjoPayment

Sicher spenden

Krypto-Spende

BTC (BEP20 / BSC)

0x9c3d4f8aeb2eb9ab499047d43a7e18fd8212d9f8

Bitte senden Sie nur BTC (BEP20/BSC) an diese Adresse.

Ihre Unterstützung hilft, Folgendes zu finanzieren:

• Sicherheitsforschung im Hosting-Bereich
• Incident-Response-Werkzeuge
• Defensive Open-Source-Sicherheitsprojekte
• Infrastrukturtests

Vielen Dank, dass Sie ReselNom unterstützen 🚀

Hiermit wird jeder Person, die eine Kopie dieser Software und der zugehörigen Dokumentationsdateien erhält, kostenlos die Erlaubnis erteilt, uneingeschränkt mit der Software zu arbeiten.