LiteSpeed Cache per WordPress: patch per XSS CVE-2026-76579, aggiornare a 7.9.1

LiteSpeed Technologies ha pubblicato il 18 settembre 2026 un avviso di sicurezza per il plugin LiteSpeed Cache for WordPress (LSCWP), segnalando una vulnerabilità Cross-Site Scripting già corretta nella versione 7.9.1. Per chi gestisce hosting WordPress su stack LiteSpeed la notizia conta perché il plugin è installato su un numero molto ampio di siti, spesso pre-attivato dai pannelli di controllo dei provider.

Il difetto

Secondo il blog ufficiale LiteSpeed, la falla è stata segnalata dal team Wordfence e ha ricevuto l'identificativo CVE-2026-76579. È una vulnerabilità XSS che riguarda solo i siti in cui sono vere tutte le seguenti condizioni:

• Cache > Cache > Enable Cache impostato su ON
• Cache > ESI > Enable ESI impostato su ON
• il sito ha almeno un post pubblico con i commenti abilitati

Con questa configurazione, un attaccante non autenticato può indurre un visitatore ad aprire una pagina malevola. L'apertura della pagina fa eseguire JavaScript controllato dall'attaccante con i permessi del visitatore, compresi eventuali permessi di amministratore se la vittima è loggata. Non serve un account sul sito target; serve solo che la vittima visiti la pagina dell'attaccante.

Timeline

• 19 agosto 2026: Wordfence segnala il problema a LiteSpeed
• 1° settembre 2026: LiteSpeed rilascia la patch nella versione 7.9.1 sul repository WordPress
• 4 settembre 2026: la versione 7.9.1 viene aggiunta all'elenco delle release stabili nel pannello di controllo LiteSpeed

Cosa fare

LiteSpeed raccomanda di aggiornare ogni sito alla versione 7.9.1 o successiva del plugin. Chi mantiene aggiornato LSCWP non deve fare altro; chi non aggiorna da tempo deve farlo subito, verificando in particolare i siti con Enable Cache ed Enable ESI attivi e commenti abilitati sui post pubblici.

Fonte: blog ufficiale LiteSpeed, https://blog.litespeedtech.com/2026/09/18/security-update-for-lscwp-cve-2026-76579/