LiteSpeed の PHP（lsphp）で PHP2Shell を修正する：更新と再起動

LiteSpeed の PHP（lsphp）は PHP2Shell の影響を受けますか？

受けます。lsphp は LiteSpeed 用の SAPI 付きでビルドした PHP なので、修正版より古ければ PHP2Shell（CVE-2026-109618・CVE-2026-109619）の影響があります。PHP の告知は LiteSpeed を更新が必要な Web 向けの構成に含めており、SAPI の名前だけでは修正済みか分かりません。LiteSpeed Web Server（LSWS）でも OpenLiteSpeed でも同じです。修正版は次のとおりです。

サイトが使っている lsphp のバージョンはどう確認しますか？

シェルではなく、パッケージと Web 側の PHP を確認します。LiteSpeed の PHP の説明書のとおり、lsphp はバージョンごとに /usr/local/lsws/lsphp83/bin/lsphp のような別のフォルダーに入り、どれを使うかは外部アプリケーションとスクリプトハンドラーの設定で決まります。インストール済みのバージョンはパッケージ管理ツール（rpm -q lsphp83 や dpkg -l | grep lsphp など）で確認します。Web 側では WordPress のサイトヘルスや一時的な php_sapi_name() のページでバージョンが分かり、SAPI は litespeed と表示されます。PATH 上の php コマンドは別の PHP のことがあります。詳しくは PHP バージョンの確認方法へ。

LiteSpeed は修正済みの lsphp を出しましたか？

8.2〜8.5 は出ています。ただし告知はありません。LiteSpeed のパッケージリポジトリには、2026年10月21日に次のビルドが公開されました。

出典は EL 9 のパッケージ一覧（EL 8 も同じ）と Debian・Ubuntu 用リポジトリです。Debian・Ubuntu はすべての配布版の索引が10月21日に更新されていますが、バージョンを確認したのは noble だけです。2026年10月22日 時点で、LiteSpeed のブログ、リリースログ、lsphp の変更履歴に PHP2Shell の告知はありません。8.1 以前の修正版は見つかりませんでした。lsphp81 の最新 RPM は 2025年12月の 8.1.34-1 で、Ubuntu の 8.1.34-21+noble の変更内容は確認できていません。

lsphp はどの手順で更新しますか？

1. LiteSpeed のリポジトリを入れていなければ、説明書のとおり sudo wget -O - https://repo.litespeed.sh | sudo bash で追加します。
2. RHEL 系では lsphp のパッケージを更新します（例：sudo dnf upgrade 'lsphp*'）。
3. Debian・Ubuntu では sudo apt-get update で索引を更新し、LiteSpeed のインストール例（sudo apt-get install lsphp83 lsphp83-common lsphp83-mysql）と同じように使っている lsphp パッケージを入れ直すと、最新版になります。
4. インストール済みのバージョンを上の表と照らし合わせます。

cPanel などのコントロールパネル上で LiteSpeed を使っている場合、サイトはパネルの PHP を使っていることがあります。その場合は cPanel の MultiPHP Manager で管理し、cPanel の PHP バージョン変更を見てください。

lsphp の再起動と確認はどうしますか？

パッケージを更新しても、動いている lsphp のプロセスは止まりません。LiteSpeed の How-To と OpenLiteSpeed の PHP の説明書は、同じ2つのコマンドを案内しています。

sudo touch /usr/local/lsws/admin/tmp/.lsphp_restart.txt
sudo systemctl restart lsws

WebAdmin コンソールでは「Actions」から「Restart Detached PHP Processes」、続いて「Apply Changes / Graceful Restart」を選びます。その後サイトヘルスや確認用のページを開き直して新しいバージョンを確認し、PHP バージョンチェッカーで判定します。確認用のページは終わったら削除してください。

すぐに更新できない場合は？

lsphp が読み込む php.ini で session.upload_progress.enabled を無効にする、post_max_size を下げるといった PHP 公式の暫定策を入れ、上の再起動手順を実行します。特定の経路を防ぐだけなので、暫定対策のページで限界を確認してください。

lsphp74・lsphp80・lsphp81 を使っている場合は？

PHP 公式は 7.4・8.0・8.1 の修正版を出しておらず、ソースパッチだけです。これらの lsphp の修正済みビルドも見つかりませんでした。サイトを lsphp82 以降へ移してください。PHP のサポート終了、PHP2Shell の対処法、PHP2Shell チェッカーも参照してください。