Решил проблему

включением настройки доступа к сокетам по polkit в конфиге libvirtd.conf и настройкой соответствующего правила. В чём была проблема изначально — неясно (наверно, туплю с правами, т.к. доступ к сокетам был у группы libvirtd, а юзер www-data был включен в группу libvirtd, но это не прокатывало из-под lighttpd, хотя прокатывало из консоли). Да и хрен с ним, раз теперь работает.