Kwetsbaarheden in LiteSpeed Cache: geschiedenis en exploits sinds 2020

LiteSpeed Cache is een prestatieplugin, geen beveiligingsplugin, en toch telt de geschiedenis ervan drie door aanvallers misbruikte kwetsbaarheden en twee accountovernames met een score van 9,8. Van december 2020 tot 15 oktober 2026 schrijft de database van WPScan er 23 kwetsbaarheden aan toe. Hier vind je de gecontroleerde tijdlijn, wat elke grote kwetsbaarheid mogelijk maakte en de reflexen die een site beschermen, ook als de patch op zich laat wachten.

LiteSpeed Cache in het kort

LiteSpeed Cache (slug litespeed-cache) wordt sinds januari 2016 gepubliceerd door LiteSpeed Technologies, de uitgever van de webserver LiteSpeed en het CDN QUIC.cloud. De plugin meldt meer dan 7 miljoen actieve installaties op wordpress.org, wat haar tot de meest verspreide plugins maakt. De paginacache op serverniveau vereist een LiteSpeed-server of QUIC.cloud, maar de optimalisatiefuncties (minificatie en combinatie van CSS en JavaScript, kritieke CSS, lazy loading van afbeeldingen, beeldoptimalisatie, opschonen van de database) werken op elke server, ook Apache of Nginx.

Die reikwijdte verklaart het aanvalsoppervlak. Om elke pagina te herschrijven, analyseert en wijzigt de plugin de HTML, ook de inhoud die bezoekers aanleveren (reacties, HTTP-headers). Om met QUIC.cloud te communiceren, stelt ze endpoints open die gegevens van buitenaf ontvangen. En om de cache van pagina's voor leden voor te verwarmen, kon haar crawler zich voordoen als een ingelogde gebruiker. Elk van die mechanismen heeft minstens één ernstige kwetsbaarheid opgeleverd.

De tijdlijn van de kwetsbaarheden, van 2020 tot oktober 2026

De tellingen hieronder gebruiken de database van WPScan, van 26 december 2020 tot 15 oktober 2026: 23 kwetsbaarheden, waarvan 11 gepubliceerd in 2024, en geen enkele in 2022. Patchstack vermeldt hetzelfde aantal records. De tabel bevat de 14 meest significante kwetsbaarheden (uitbuitbaar zonder account, misbruikt of als hoog beoordeeld); de andere worden direct daarna samengevat.

Publicatie	Gepatcht in	Type	CVSS	CVE	Account vereist	Misbruik
30 november 2021	4.4.4	Omzeilen van de IP-controle, daarna stored XSS	8,1	CVE-2021-24964	Geen	Niet gedocumenteerd
27 februari 2024	5.7.0.1	Stored XSS op de hele site	8,3 (WPScan 8,8)	CVE-2023-40000	Geen	Ja, april 2024 (WPScan)
27 februari 2024	5.7.0.1	Ontbrekende toegangscontrole (CDN-status)	8,2 (WPScan 5,3)	CVE-2023-45000	Geen	Niet gedocumenteerd
23 juli 2024	6.3	CSRF die tot een stored XSS leidt	6,1	CVE-2024-3246	Geen (een beheerder moet klikken)	Niet gedocumenteerd
21 augustus 2024	6.4	Rechtenescalatie	9,8 (WPScan 8,1)	CVE-2024-28000	Geen	Ja, op grote schaal vanaf augustus 2024 (Wordfence)
5 september 2024	6.5.0.1	Accountovername via het debuglogboek	9,8 (WPScan 7,5)	CVE-2024-44000	Geen	Aanvallen waargenomen in 2026 (F5 Labs)
30 september 2024	6.5.1	Stored XSS via een HTTP-header	7,1 (WPScan 6,1)	CVE-2024-47374	Geen	Niet gedocumenteerd
30 september 2024	6.5.1	Directory traversal	8,8 (WPScan 4,3)	CVE-2024-47637	Auteur (volgens WPScan)	Niet gedocumenteerd
29 oktober 2024	6.5.2	Rechtenescalatie (rolsimulatie)	8,1	CVE-2024-50550	Geen	Niet gedocumenteerd
28 oktober 2025	7.6	Reflected XSS	6,1 (WPScan 7,1)	CVE-2025-12450	Geen (kwaadaardige link)	Niet gedocumenteerd
26 mei 2026	7.8	Stored XSS via de QUIC.cloud-endpoints	7,2	CVE-2026-3375	Geen	Niet gedocumenteerd
27 augustus 2026	7.9	Stored XSS via een reactie	7,2	CVE-2026-18978	Geen	Niet gedocumenteerd
2 september 2026	7.9.1	Server-side request forgery (SSRF)	7,2 (WPScan 5,8)	CVE-2026-84761	Geen	Niet gedocumenteerd
18 september 2026	7.9.1	Reflected XSS via de parameter esi	4,7	CVE-2026-76579	Geen (kwaadaardige link)	Niet gedocumenteerd

De negen andere kwetsbaarheden vereisen een account of een handeling van een beheerder. In 2020 een XSS in de instelling voor het server-IP, alleen voor beheerders (3.6.1). In 2021 een reflected XSS op een beheerpagina (4.4.4). In 2023 een CSRF, gepatcht in 5.3.1, en een stored XSS door een schrijver via de shortcode esi (5.7). In 2024 een stored XSS door een beheerder in de debuginstellingen (6.5), en twee stored XSS die voor schrijvers bereikbaar waren (6.5.1 en 6.5.3). In 2025 een SSRF die voor een redacteur bereikbaar was (7.1). In 2026 een stored XSS door een auteur via afbeeldingsattributen (7.8).

De opvallendste kwetsbaarheden uitgelegd

CVE-2023-40000: een XSS gepatcht in 2023, misbruikt in 2024

Deze kwetsbaarheid, op 17 oktober 2023 gemeld door Rafie Muhammad (Patchstack), werd al gepatcht in versie 5.7.0.1 van 25 oktober 2023, maar pas op 27 februari 2024 openbaar gemaakt. De functie die de CDN-status bijwerkt, accepteerde gegevens zonder authenticatie en toonde die zonder escaping opnieuw in een melding in de beheeromgeving. Een anonieme bezoeker kon er dus JavaScript in stoppen, dat daarna in de browser van een beheerder werd uitgevoerd.

Op 3 mei 2024 beschreef WPScan een golf aanvallen op sites die onder 5.7.0.1 waren gebleven, met een piek op 2 april 2024. Het geïnjecteerde script maakte beheerdersaccounts aan met de namen wpsupp-user of wp-configuser, en één IP-adres had meer dan 1,2 miljoen verkenningsverzoeken verstuurd. De les is duidelijk: de patch bestond al meer dan vijf maanden, en de getroffen sites waren de sites die de plugin niet bijwerkten.

Augustus tot oktober 2024: de drie overnames

Deze drie kwetsbaarheden worden uitgebreid besproken in ons artikel over de rechtenescalaties in LiteSpeed Cache in 2024; samengevat:

• CVE-2024-28000 (9,8 volgens Patchstack): het token waarmee de crawler een gebruiker kon simuleren, berustte op ongeveer een miljoen mogelijke waarden, weinig genoeg om met brute force te raden en daarna te misbruiken om een beheerder aan te maken. Gemeld op 1 augustus 2024 door John Blackbourn (14.400 dollar beloning via Patchstack), gepatcht in 6.4 op 13 augustus, gepubliceerd op 21 augustus. Volgens BleepingComputer blokkeerde Wordfence de dag erna meer dan 48.500 aanvallen in 24 uur.
• CVE-2024-44000 (9,8): als het debuglogboek was ingeschakeld, registreerde het de sessiecookies in een publiek leesbaar bestand. Gepatcht in 6.5.0.1 op 4 september 2024. In juli 2026 plaatste F5 Labs haar nog op de achtste plaats van de meest aangevallen kwetsbaarheden in juni 2026, met 2.603 waargenomen aanvallen in die maand.
• CVE-2024-50550 (8,1): een nieuwe variant van de rolsimulatie, alleen uitbuitbaar met bepaalde crawlerinstellingen. Versie 6.5.2 van 17 oktober 2024 verwijderde de functie voor rolsimulatie.

CVE-2024-47374: een HTTP-header om script te injecteren

Deze stored XSS, op 24 september 2024 gemeld door onderzoeker TaiYou via het programma van Patchstack, liep via de header X-LSCACHE-VARY-VALUE, die zonder opschoning in de wachtrij voor het genereren van CSS werd gekopieerd. Eén anoniem HTTP-verzoek volstond, maar alleen als twee instellingen die standaard uit staan, waren ingeschakeld: "CSS Combine" en "Generate UCSS". De uitgever stuurde dezelfde dag een patch en bracht versie 6.5.1 uit op 25 september: één dag tussen de melding en de patch.

2021 en 2026: dezelfde valkuil rond QUIC.cloud

In november 2021 toonde Emil Kylander aan dat de plugin de herkomst van QUIC.cloud-aanroepen controleerde op basis van het IP-adres, en dat een eenvoudige header X-Forwarded-For volstond om zich als de dienst voor te doen. Gecombineerd met een endpoint dat CSS opsloeg, leverde dat een stored XSS zonder account op (gepatcht in 4.4.4). In mei 2026 herhaalde CVE-2026-3375 het patroon: de REST-endpoints notify_ccss en notify_ucss sloegen van QUIC.cloud ontvangen CSS zonder opschoning op, en de IP-controle kon achter bepaalde reverse proxy's, load balancers of CDN's worden omzeild. Gemeld op 28 februari 2026 en gepatcht in 7.8 (3 maart 2026). Versie 7.9.1 van 1 september 2026 koos een andere aanpak: volgens de changelog worden alle QUIC.cloud-aanroepen nu gecontroleerd met een handtekening in plaats van op het bron-IP-adres.

Augustus en september 2026: reacties en vervalste verzoeken

Met CVE-2026-18978, gemeld door Jack Taylor en gepubliceerd op 27 augustus 2026, kon een bezoeker script injecteren via een reactie die alleen uit numerieke tekenverwijzingen bestond, geplaatst in een toegestane tag zoals code: die inhoud ontsnapte aan de filtering van WordPress (wp_kses) en bereikte een kwetsbare functie van de plugin. De site moest reacties van eerder goedgekeurde auteurs automatisch publiceren en geen naam en e-mailadres vereisen (gepatcht in 7.9, op 5 augustus 2026). CVE-2026-84761, gepubliceerd op 2 september, is een SSRF zonder authenticatie: de plugin kon ertoe worden gebracht verzoeken te sturen naar adressen die de aanvaller koos, ook interne (gepatcht in 7.9.1). CVE-2026-76579 ten slotte, gepubliceerd op 18 september, is een reflected XSS via de parameter esi, waarvoor iemand op een kwaadaardige link moet klikken (7.9.1).

Om verwarring te voorkomen: de twee LiteSpeed-kwetsbaarheden die in 2026 aan de KEV-catalogus van CISA werden toegevoegd (CVE-2026-48172 op 26 mei, CVE-2026-54420 op 15 juni), betreffen de cPanel-plugin van LiteSpeed voor hostingproviders, niet de WordPress-plugin. Geen enkele kwetsbaarheid in LiteSpeed Cache staat in die catalogus.

Wat deze geschiedenis laat zien

• XSS-kwetsbaarheden overheersen. 14 van de 23 records zijn XSS (15 met de CSRF die tot een XSS leidt), waarvan vijf stored XSS die zonder account uitbuitbaar zijn. Een plugin die de HTML van elke pagina herschrijft, werkt onvermijdelijk met onbetrouwbare inhoud.
• Interne vertrouwensmechanismen zijn het echte zwakke punt. Token voor rolsimulatie, debuglogboek, IP-controle van QUIC.cloud: de ernstigste kwetsbaarheden komen van praktische snelkoppelingen voor prestaties die onvoldoende waren beschermd.
• De patches komen snel. Eén dag voor CVE-2024-47374, acht dagen voor CVE-2023-40000, twaalf dagen voor CVE-2024-28000. De uitgever heeft een actief disclosureprogramma bij Patchstack.
• De aanvallen richten zich op achterblijvers. CVE-2023-40000 werd meer dan vijf maanden na de patch misbruikt, en CVE-2024-44000 hoorde bijna twee jaar na de patch nog bij de meest aangevallen kwetsbaarheden.
• Een prestatieplugin verdient dezelfde zorg als een beveiligingsplugin. Ze draait op elke pagina en ontvangt gegevens van bezoekers, wat er net zo goed een doelwit van maakt.

Dit tempo is niet uitzonderlijk voor zo'n wijdverbreide software: onze tijdlijn van de beveiligingsversies van de WordPress-core en ons artikel over XSS-kwetsbaarheden in WordPress bieden vergelijkingspunten.

6 Million WordPress Sites Impacted by LiteSpeed Cache BugAls je klikt, wordt de video geladen vanaf youtube-nocookie.com (YouTube, Google). Voor je klik wordt er niets geladen.

Jezelf beschermen

• Controleer de versie onder Plugins: 7.9.1 of later dicht alle hier vermelde kwetsbaarheden.
• Schakel automatische updates in voor LiteSpeed Cache (zie onze gids over automatische updates van plugins). De aanvallen van 2024 troffen sites die maanden achterliepen.
• Controleer op sporen van oude kwetsbaarheden: onbekende beheerdersaccounts (waaronder wpsupp-user en wp-configuser), een oud bestand debug.log dat je moet verwijderen, sessies die je moet afsluiten als een logboek met cookies openbaar is geweest.
• Schakel alleen nuttige opties in: het debuglogboek alleen voor de duur van een diagnose, en de geavanceerde CSS-optimalisaties alleen als je de winst meet. Draai je niet op een LiteSpeed-server en gebruik je de optimalisaties niet, dan kan een andere cacheplugin volstaan; verwijder plugins die niet meer worden gebruikt (verlaten en overbodige plugins).
• Voeg een applicatiefirewall toe die virtuele patches kan toepassen (vergelijking van WAF's): Patchstack rolde bijvoorbeeld een regel voor CVE-2024-47374 uit op de dag van de melding.
• Volg de gepubliceerde kwetsbaarheden voor je plugins (kwetsbaarheden van plugins in de gaten houden).

WP Masquerade Pro kan je bij dat laatste punt helpen. Het vergelijkt elke dag de geïnstalleerde versies van je plugins en thema's met de openbare database WPVulnerability.net en stuurt je een kwetsbaarheidsmelding per e-mail, met de ernst en de gepatchte versie. De openstaande updates en de kwetsbare sites verschijnen in de klantenzone (monitoring van sites), en de integriteitscontrole meldt gewijzigde core-bestanden, nuttig na een compromittering. WP Masquerade dicht geen kwetsbaarheden en is geen firewall: het waarschuwt je, bijwerken moet je zelf doen.

Bronnen

• WordPress.org: LiteSpeed Cache, volledige changelog (externe link, opent in een nieuw tabblad)
• NVD: CVE-2024-44000 (20 oktober 2024) (externe link, opent in een nieuw tabblad)
• NVD: CVE-2024-50550 (29 oktober 2024) (externe link, opent in een nieuw tabblad)
• CISA: Known Exploited Vulnerabilities Catalog (externe link, opent in een nieuw tabblad)

Andere geraadpleegde bronnen: andere CVE-registraties, officiële pagina's van de leveranciers, publicaties van beveiligingsonderzoekers, artikelen uit de vakpers, databases van WPScan en Patchstack.