Plex Media Server: patru CVE exploatate în catalogul CISA KEV

Pe 20 octombrie 2026, CISA a adăugat în catalogul său Known Exploited Vulnerabilities (KEV) patru vulnerabilități ale Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 și CVE-2026-96656. Catalogul cuprinde vulnerabilitățile pentru care agenția are dovezi de exploatare activă.

Cele patru CVE au fost publicate pe 23 septembrie 2026. Fișele NVD, actualizate pe 20 octombrie, trimit la aceleași surse: notele de lansare Plex, un aviz CSAF al CISA (va-26-266-01) și analiza tehnică publicată sub numele Plex2Shell.

Cele patru vulnerabilități

Potrivit descrierilor NVD:

• CVE-2026-96656 (CWE-73, control extern al numelui sau căii unui fișier): un utilizator administrator poate scrie fișiere arbitrare care pot fi executate la încărcare. Preferința TranscoderH264Options este adăugată ca atare la șirul de opțiuni x264 la fiecare transcodare; la pornire, toate fișierele .so sunt executate fără verificarea semnăturii, a permisiunii de execuție sau a simbolurilor. CVSS 4.0 8.6 (ridicat), CVSS 3.1 7.2, cu privilegii ridicate necesare (PR:H) și impact ridicat asupra confidențialității, integrității și disponibilității.
• CVE-2026-96655 (CWE-918, server-side request forgery): un utilizator autentificat poate face serverul să solicite adrese arbitrare, interne sau externe, prin parametrul de cale al /video/:/transcode/universal. CVSS 4.0 5.3, CVSS 3.1 4.3.
• CVE-2026-96654 (CWE-84, neutralizare incorectă a schemelor URI codificate într-o pagină web): valorile URL incluse în searchOne nu sunt neutralizate corect, iar un atacator poate apela funcții ale altor pluginuri cu propriii parametri. CVSS 4.0 6.9, CVSS 3.1 6.5. Este singura dintre cele patru cu un vector fără privilegii (PR:N) și fără interacțiunea utilizatorului.
• CVE-2026-96652 (CWE-918, server-side request forgery): SSRF prin /player/timeline. Cu orice valoare X-Plex-Token, un atacator poate include un URL complet în parametrul protocol și poate forța serverul Plex să trimită o cerere POST către destinația aleasă de el. CVSS 4.0 5.3, CVSS 3.1 4.3.

Luate pe rând, trei dintre cele patru au gravitate medie. Fișele nu descriu cum sunt combinate vulnerabilitățile în atacuri: pentru asta trimit la analiza Plex2Shell. CISA le-a adăugat în catalog în aceeași zi, iar toate se corectează cu aceeași actualizare.

Tehnici MITRE ATT&CK relevante (corespondența noastră): T1190 Exploit Public-Facing Application și T1129 Shared Modules, pentru încărcarea bibliotecilor .so.

Versiuni afectate: o neconcordanță de știut

Descrierile NVD indică drept vulnerabile versiunile Plex Media Server anterioare versiunii 1.43.3.10861. Configurația CPE a acelorași fișe indică însă < 1.43.0.10861. Cele două informații nu coincid: ca să nu greșești, consideră vulnerabilă orice versiune anterioară versiunii 1.43.3.10861 și verifică notele de lansare Plex indicate în fișe.

Ce cere CISA

Fișele KEV cer:

• aplicarea măsurilor de atenuare conform instrucțiunilor producătorului, respectând directiva BOD 26-04 a CISA privind prioritizarea actualizărilor în funcție de risc și cerințele sale de triaj criminalistic („Forensics Triage Requirements”);
• pentru serviciile cloud, respectarea aceleiași directive sau renunțarea la produs dacă nu există măsuri de atenuare;
• evaluarea expunerii la internet a fiecărui sistem.

Pentru agențiile federale americane există două termene: 23 octombrie 2026 pentru CVE-2026-96656 și CVE-2026-96654 și 3 noiembrie 2026 pentru cele două SSRF, CVE-2026-96655 și CVE-2026-96652. La rubrica privind utilizarea în campanii ransomware, fișele indică „Unknown”, adică necunoscut. KEV nu indică victime, actori sau indicatori de compromitere.

Impactul pentru companiile europene și italiene

Plex Media Server a fost creat pentru uz casnic, dar poate exista și în companii, pe un server, un NAS sau o mașină virtuală, adesea instalat în afara proceselor IT și deci absent din inventare. Potrivit CISA, vulnerabilitățile sunt exploatate: o instanță neactualizată și accesibilă din internet trebuie considerată expusă unui risc real. Așa cum sunt descrise, cele două SSRF permit lansarea, de pe serverul Plex, a unor cereri către adrese interne sau externe.

Termenele CISA nu se aplică firmelor europene, dar arată prioritatea pe care agenția o acordă acestor vulnerabilități. Pentru entitățile care intră sub incidența NIS2, gestionarea vulnerabilităților exploatate face parte din măsurile de securitate cerute, iar un server compromis în rețeaua companiei este un incident care trebuie evaluat în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN).

Ce trebuie făcut acum

1. Fă inventarul: caută instanțe Plex Media Server pe servere, NAS-uri și mașini virtuale, inclusiv cele instalate fără să treacă prin IT.
2. Actualizează la 1.43.3.10861 sau o versiune ulterioară, începând cu instanțele expuse la internet.
3. Dacă nu poți actualiza imediat, scoate instanța de pe internet; CISA prevede și renunțarea la produs dacă nu există măsuri de atenuare.
4. Verifică administratorii: CVE-2026-96656 necesită un cont de administrator, așa că verifică cine are aceste privilegii pe server.
5. Fă triajul criminalistic, așa cum cere CISA, pornind de la elementele din descrierile NVD:
   • valoarea preferinței TranscoderH264Options, căutând opțiuni neașteptate;
   • fișiere .so noi sau necunoscute printre cele încărcate de serverul Plex;
   • cereri către /player/timeline cu un URL complet în parametrul protocol, cereri către /video/:/transcode/universal cu adrese în cale și valori URL neobișnuite în searchOne;
   • cereri POST de ieșire de pe serverul Plex către destinații necunoscute.
6. Dacă găsești urme: izolează mașina, reinstaleaz-o dintr-o sursă de încredere, schimbă credențialele și tokenurile salvate pe sistem și evaluează obligațiile de notificare.

Cum ajută ARXDOME

ARX Expose arată ce servicii expune compania ta pe internet și ce produse cu vulnerabilități cunoscute sunt recunoscute pe ele: te ajută să afli dacă un server Plex este accesibil din exterior. ARX Watch găsește în rețea dispozitivele fără sondă, cum ar fi NAS-urile. Pe computerele și serverele cu agentul ARXDOME, ARX Sentry colectează inventarul de software, procese și porturi și verifică integritatea fișierelor din folderele stabilite, iar ARX Shield enumeră vulnerabilitățile deschise, cu cele deja exploatate evidențiate, și permite izolarea din rețea a unei mașini suspecte.

Ultima actualizare: 20 octombrie 2026