Plex Media Server: cuatro CVE explotadas en el catálogo CISA KEV

El 20 de octubre de 2026 la CISA añadió a su catálogo Known Exploited Vulnerabilities (KEV) cuatro vulnerabilidades de Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 y CVE-2026-96656. El catálogo recoge las vulnerabilidades de las que la agencia tiene pruebas de explotación activa.

Las cuatro CVE se publicaron el 23 de septiembre de 2026. Las fichas de NVD, actualizadas el 20 de octubre, remiten a las mismas fuentes: las notas de versión de Plex, un aviso CSAF de la CISA (va-26-266-01) y el análisis técnico publicado con el nombre Plex2Shell.

Las cuatro vulnerabilidades

Según las descripciones de NVD:

• CVE-2026-96656 (CWE-73, control externo del nombre o la ruta de un archivo): un usuario administrador puede escribir archivos arbitrarios que pueden ejecutarse al cargarse. La preferencia TranscoderH264Options se añade tal cual a la cadena de opciones de x264 en cada transcodificación; al arrancar, todos los archivos .so se ejecutan sin comprobar firma, permiso de ejecución ni símbolos. CVSS 4.0 8.6 (alto), CVSS 3.1 7.2, con privilegios elevados requeridos (PR:H) e impacto alto en confidencialidad, integridad y disponibilidad.
• CVE-2026-96655 (CWE-918, server-side request forgery): un usuario autenticado puede hacer que el servidor solicite direcciones arbitrarias, internas o externas, mediante el parámetro de ruta de /video/:/transcode/universal. CVSS 4.0 5.3, CVSS 3.1 4.3.
• CVE-2026-96654 (CWE-84, neutralización incorrecta de esquemas URI codificados en una página web): los valores URL incluidos en searchOne no se neutralizan correctamente, y un atacante puede llamar a funciones de otros plugins con sus propios parámetros. CVSS 4.0 6.9, CVSS 3.1 6.5. Es la única de las cuatro con un vector sin privilegios (PR:N) y sin interacción del usuario.
• CVE-2026-96652 (CWE-918, server-side request forgery): SSRF a través de /player/timeline. Con cualquier valor de X-Plex-Token, un atacante puede incluir una URL completa en el parámetro protocol y obligar al servidor Plex a enviar una petición POST al destino que elija. CVSS 4.0 5.3, CVSS 3.1 4.3.

Tomadas una a una, tres de las cuatro tienen gravedad media. Las fichas no describen cómo se combinan los fallos en los ataques: para eso remiten al análisis Plex2Shell. La CISA las añadió al catálogo el mismo día, y todas se corrigen con la misma actualización.

Técnicas MITRE ATT&CK pertinentes (mapeo nuestro): T1190 Exploit Public-Facing Application y T1129 Shared Modules, por la carga de bibliotecas .so.

Versiones afectadas: una incoherencia que debes conocer

Las descripciones de NVD indican como vulnerables las versiones de Plex Media Server anteriores a la 1.43.3.10861. En cambio, la configuración CPE de las mismas fichas indica < 1.43.0.10861. Los dos datos no coinciden: para no equivocarte, considera vulnerable cualquier versión anterior a la 1.43.3.10861 y revisa las notas de versión de Plex enlazadas en las fichas.

Qué pide la CISA

Las fichas del KEV piden:

• aplicar las mitigaciones según las instrucciones del fabricante, siguiendo la directiva BOD 26-04 de la CISA sobre la priorización de actualizaciones según el riesgo y sus requisitos de triaje forense («Forensics Triage Requirements»);
• para los servicios en la nube, seguir la misma directiva o dejar de usar el producto si no hay mitigaciones disponibles;
• evaluar la exposición a internet de cada sistema.

Para las agencias federales de Estados Unidos hay dos plazos: 23 de octubre de 2026 para CVE-2026-96656 y CVE-2026-96654, y 3 de noviembre de 2026 para las dos SSRF, CVE-2026-96655 y CVE-2026-96652. En el apartado sobre el uso en campañas de ransomware, las fichas indican «Unknown», es decir, no conocido. El KEV no indica víctimas, actores ni indicadores de compromiso.

Impacto para las empresas europeas e italianas

Plex Media Server nació para uso doméstico, pero también puede estar en la empresa, en un servidor, un NAS o una máquina virtual, a menudo instalado al margen de los procesos de TI y, por tanto, ausente de los inventarios. Según la CISA, las vulnerabilidades se están explotando: una instancia sin actualizar y accesible desde internet debe considerarse en riesgo real. Tal como se describen, las dos SSRF permiten lanzar desde el servidor Plex peticiones hacia direcciones internas o externas.

Los plazos de la CISA no se aplican a las empresas europeas, pero indican la prioridad que la agencia da a estas vulnerabilidades. Para las entidades sujetas a NIS2, la gestión de las vulnerabilidades explotadas forma parte de las medidas de seguridad exigidas, y un servidor comprometido en la red corporativa es un incidente que hay que evaluar para su notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN).

Qué hacer ahora

1. Haz inventario: busca instancias de Plex Media Server en servidores, NAS y máquinas virtuales, incluidas las instaladas sin pasar por TI.
2. Actualiza a la 1.43.3.10861 o posterior, empezando por las instancias expuestas a internet.
3. Si no puedes actualizar enseguida, saca la instancia de internet; la CISA también contempla dejar de usar el producto si no hay mitigaciones disponibles.
4. Revisa los administradores: la CVE-2026-96656 requiere una cuenta de administrador, así que comprueba quién tiene estos privilegios en el servidor.
5. Haz el triaje forense, como pide la CISA, partiendo de los elementos de las descripciones de NVD:
   • el valor de la preferencia TranscoderH264Options, en busca de opciones inesperadas;
   • archivos .so nuevos o desconocidos entre los que carga el servidor Plex;
   • peticiones a /player/timeline con una URL completa en el parámetro protocol, peticiones a /video/:/transcode/universal con direcciones en la ruta y valores URL anómalos en searchOne;
   • peticiones POST salientes del servidor Plex hacia destinos no reconocidos.
6. Si encuentras rastros: aísla la máquina, reinstálala desde una fuente fiable, cambia las credenciales y los tokens guardados en el equipo y evalúa las obligaciones de notificación.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios expone tu empresa en internet y qué productos con vulnerabilidades conocidas se reconocen en ellos: te ayuda a saber si un servidor Plex es accesible desde fuera. ARX Watch encuentra en la red los dispositivos sin sonda, como los NAS. En ordenadores y servidores con el agente de ARXDOME, ARX Sentry recoge el inventario de software, procesos y puertos y controla la integridad de los archivos en las carpetas elegidas, mientras que ARX Shield enumera las vulnerabilidades abiertas, con las ya explotadas destacadas, y permite aislar de la red una máquina sospechosa.

Última actualización: 20 de octubre de 2026