LiteSpeed Cache per WordPress: falla CVE-2026-114190, aggiornare a v7.9.2
LiteSpeed conferma una falla di esposizione dati nel plugin LiteSpeed Cache, già patchata a settembre. Attiva su siti con REST API caching e permalink semplici.
Redazione UptimeMag · 28 ottobre 2026 · 1 minuti di lettura
LiteSpeed Technologies ha pubblicato un avviso di sicurezza per LiteSpeed Cache for WordPress (LSCWP), il plugin di cache lato server usato su oltre 7 milioni di siti attivi secondo i dati ufficiali di WordPress.org. La vulnerabilità, identificata come CVE-2026-114190, è una divulgazione di dati sensibili: chi gestisce hosting con LiteSpeed Web Server o OpenLiteSpeed deve verificare la versione installata del plugin.
Cosa espone la falla
Secondo l'avviso di LiteSpeed, la vulnerabilità è stata classificata come problematica e riguarda LiteSpeed Cache Plugin fino alla versione 7.9. Il database CVE la cataloga come CWE-201, con punteggio CVSS 3.1 di 5.9 (medio), vettore di rete, complessità d'attacco alta, nessun privilegio richiesto, impatto alto sulla riservatezza.
La fonte LiteSpeed descrive la configurazione a rischio: cache delle chiamate REST API attiva (opzione di default), permalink semplici (anch'essi di default) e un'integrazione legittima senza cookie — app mobile, frontend headless o servizio di backup — che effettua chiamate REST API con privilegi di amministratore tramite application password. In queste condizioni un attaccante non autenticato può recuperare dati che normalmente richiedono accesso da amministratore. L'esposizione resta valida per tutta la durata configurata della cache REST, sette giorni di default, e per rimuoverla serve un Purge All manuale dal pannello WordPress: la purge via cron non basta.
Timeline e versione da installare
LiteSpeed riporta che Patchstack ha segnalato il problema il 17 agosto 2026 e che la patch è stata rilasciata il 1° settembre 2026 con la versione 7.9.1. La versione attuale, al momento della pubblicazione dell'avviso, è la 7.9.2. Il ricercatore accreditato per la scoperta è Ananda Dhakal di Patchstack, secondo il registro CVE.
Cosa fare
Chi gestisce hosting o siti WordPress su server LiteSpeed deve controllare la versione del plugin da Bacheca → Plugin e aggiornare almeno alla 7.9.1, meglio alla 7.9.2. Chi aggiorna regolarmente il plugin, come ricorda la stessa LiteSpeed, non deve fare nulla: la patch è già inclusa da settembre.
LiteSpeed Cache è un prodotto LiteSpeed Technologies.
Testo redatto con il supporto dell'intelligenza artificiale e verificato dalla redazione (AI Act, art. 50). Fonte: LiteSpeed – rilasci e sicurezza.