Plex Media Server: quattro CVE sfruttate nel catalogo CISA KEV

Il 20 ottobre 2026 la CISA ha inserito nel suo catalogo Known Exploited Vulnerabilities (KEV) quattro vulnerabilità di Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 e CVE-2026-96656. Il catalogo raccoglie le vulnerabilità di cui l’agenzia ha prove di sfruttamento attivo.

Le quattro CVE sono state pubblicate il 23 settembre 2026. Le schede di NVD, aggiornate il 20 ottobre, rimandano alle stesse fonti: le note di rilascio di Plex, un avviso CSAF della CISA (va-26-266-01) e l’analisi tecnica pubblicata con il nome Plex2Shell.

Le quattro vulnerabilità

Secondo le descrizioni di NVD:

• CVE-2026-96656 (CWE-73, controllo esterno del nome o del percorso di un file): un utente amministratore può scrivere file arbitrari che possono essere eseguiti al caricamento. L’impostazione TranscoderH264Options viene aggiunta così com’è alla stringa di opzioni di x264 a ogni transcodifica; all’avvio, tutti i file .so vengono eseguiti senza controlli su firma, permesso di esecuzione o simboli. CVSS 4.0 8.6 (alto), CVSS 3.1 7.2, con privilegi elevati richiesti (PR:H) e impatto alto su riservatezza, integrità e disponibilità.
• CVE-2026-96655 (CWE-918, server-side request forgery): un utente autenticato può far richiedere al server indirizzi arbitrari, interni o esterni, tramite il parametro di percorso di /video/:/transcode/universal. CVSS 4.0 5.3, CVSS 3.1 4.3.
• CVE-2026-96654 (CWE-84, neutralizzazione impropria di schemi URI codificati in una pagina web): i valori URL inclusi in searchOne non vengono neutralizzati correttamente, e un attaccante può chiamare funzioni di altri plugin passando parametri propri. CVSS 4.0 6.9, CVSS 3.1 6.5. È l’unica delle quattro con vettore senza privilegi (PR:N) e senza interazione dell’utente.
• CVE-2026-96652 (CWE-918, server-side request forgery): SSRF tramite /player/timeline. Con un qualsiasi valore di X-Plex-Token, un attaccante può inserire un URL completo nel parametro protocol e costringere il server Plex a inviare una richiesta POST alla destinazione che sceglie. CVSS 4.0 5.3, CVSS 3.1 4.3.

Prese una per una, tre delle quattro hanno gravità media. Le schede non descrivono come le falle vengano combinate negli attacchi: per questo rimandano all’analisi Plex2Shell. La CISA le ha inserite nel catalogo lo stesso giorno, e tutte si correggono con lo stesso aggiornamento.

Tecniche MITRE ATT&CK pertinenti (mappatura nostra): T1190 Exploit Public-Facing Application e T1129 Shared Modules, per il caricamento delle librerie .so.

Versioni colpite: un’incongruenza da conoscere

Le descrizioni di NVD indicano come vulnerabili le versioni di Plex Media Server precedenti alla 1.43.3.10861. La configurazione CPE delle stesse schede riporta invece < 1.43.0.10861. Le due indicazioni non coincidono: per non sbagliare, considera vulnerabile ogni versione precedente alla 1.43.3.10861 e controlla le note di rilascio di Plex collegate dalle schede.

Cosa chiede la CISA

Le schede del KEV chiedono di:

• applicare le mitigazioni secondo le istruzioni del produttore, seguendo la direttiva BOD 26-04 della CISA sulla priorità degli aggiornamenti in base al rischio e i suoi requisiti di triage forense («Forensics Triage Requirements»);
• per i servizi cloud, seguire la stessa direttiva oppure smettere di usare il prodotto se le mitigazioni non sono disponibili;
• valutare l’esposizione a internet di ogni sistema.

Per le agenzie federali statunitensi le scadenze sono due: 23 ottobre 2026 per CVE-2026-96656 e CVE-2026-96654, 3 novembre 2026 per le due SSRF, CVE-2026-96655 e CVE-2026-96652. Alla voce sull’uso in campagne ransomware le schede riportano «Unknown», cioè non noto. Il KEV non indica vittime, attori né indicatori di compromissione.

Impatto per le aziende europee e italiane

Plex Media Server nasce per l’uso domestico, ma può trovarsi anche in azienda, su un server, un NAS o una macchina virtuale, spesso installato fuori dai processi IT e quindi assente dagli inventari. Secondo la CISA le vulnerabilità sono sfruttate: un’istanza non aggiornata e raggiungibile da internet va considerata a rischio concreto. Le due SSRF, per come sono descritte, permettono di far partire dal server Plex richieste verso indirizzi interni o esterni.

Le scadenze della CISA non valgono per le aziende europee, ma indicano la priorità che l’agenzia assegna a queste vulnerabilità. Per i soggetti che rientrano nella NIS2 la gestione delle vulnerabilità sfruttate fa parte delle misure di sicurezza, e un server compromesso sulla rete aziendale è un incidente da valutare per la notifica allo CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario: cerca istanze di Plex Media Server su server, NAS e macchine virtuali, comprese quelle installate senza passare dall’IT.
2. Aggiorna alla 1.43.3.10861 o successiva, partendo dalle istanze esposte su internet.
3. Se non puoi aggiornare subito, togli l’istanza da internet; la CISA prevede anche di smettere di usare il prodotto se le mitigazioni non sono disponibili.
4. Controlla gli amministratori: la CVE-2026-96656 richiede un account amministratore, quindi verifica chi ha questi privilegi sul server.
5. Fai il triage forense, come chiede la CISA, partendo dagli elementi delle descrizioni di NVD:
   • il valore dell’impostazione TranscoderH264Options, alla ricerca di opzioni inattese;
   • file .so nuovi o sconosciuti tra quelli caricati dal server Plex;
   • richieste a /player/timeline con un URL completo nel parametro protocol, richieste a /video/:/transcode/universal con indirizzi nel percorso e valori URL anomali in searchOne;
   • richieste POST in uscita dal server Plex verso destinazioni non riconosciute.
6. Se trovi tracce: isola la macchina, reinstallala da una fonte affidabile, cambia credenziali e token salvati sull’host e valuta gli obblighi di notifica.

Come aiuta ARXDOME

ARX Expose mostra quali servizi la tua azienda espone su internet e quali prodotti con vulnerabilità note vi sono riconosciuti: aiuta a capire se un server Plex è raggiungibile da fuori. ARX Watch trova sulla rete i dispositivi senza sonda, come i NAS. Su computer e server con l’agent di ARXDOME, ARX Sentry raccoglie l’inventario di software, processi e porte e controlla l’integrità dei file nelle cartelle stabilite, mentre ARX Shield elenca le vulnerabilità aperte, con quelle già sfruttate in evidenza, e permette di isolare dalla rete una macchina sospetta.

Ultimo aggiornamento: 20 ottobre 2026