20 октября CISA добавила в каталог Known Exploited Vulnerabilities сразу шесть записей. Главные из них — четыре уязвимости Plex Media Server, которые вместе получили название Plex2Shell.
Как устроена цепочка
- CVE-2026-96652 — SSRF без аутентификации в
/player/timeline: Plex можно заставить слать POST-запросы куда угодно, включая внутренние API. - CVE-2026-96654 — URL-инъекция в
searchOne, позволяющая вызывать функции других плагинов с параметрами атакующего. - CVE-2026-96655 — SSRF в эндпоинте транскодера.
- CVE-2026-96656 — запись произвольного файла через настройки транскодера: можно подложить вредоносную разделяемую библиотеку, которую Plex загрузит.
По отдельности баги средние или высокие, но цепочка позволяет получить админ-токен владельца и выполнить код с правами сервиса; исследователь Зак Мейн оценивает её в 9.8. Исправлено ещё летом в версии 1.43.3.10861, однако детали опубликованы 16 октября — и уже 17-го на ловушки начали ставить криптомайнеры и прокси-софт.
Ещё две записи
- Siemens Software Center, CVE-2026-110936 — подмена пути поиска DLL; Siemens 19 октября сообщила об эксплуатации в кампаниях ClickFix. Исправлено в 4.0.9.8.
- SiteGuard Server Edition, CVE-2026-106931 — инъекция команд ОС в японском WAF; исправлено в 8.00 Update 5 и 7.00 Update 6.
Что делать
Обновить Plex Media Server до 1.43.3.10861 или новее, особенно если сервер доступен из интернета, и проверить его на посторонние процессы. Федеральным ведомствам США дан срок до 23 октября.
On Oct 20 CISA added six entries to its Known Exploited Vulnerabilities catalog. The headline items are four Plex Media Server flaws collectively dubbed Plex2Shell.
How the chain works
- CVE-2026-96652 — unauthenticated SSRF in
/player/timeline, making Plex send POST requests anywhere, including internal APIs. - CVE-2026-96654 — URL injection in
searchOne, letting an attacker call other plugins’ functions with chosen parameters. - CVE-2026-96655 — SSRF in the transcoder endpoint.
- CVE-2026-96656 — arbitrary file write via transcoder settings: a malicious shared library can be planted and loaded by Plex.
Individually they are medium to high severity, but chained they yield the owner’s admin token and code execution with the service’s privileges; researcher Zach Main scores the chain 9.8. The fix shipped back in the summer in version 1.43.3.10861, but details went public on Oct 16 — and by Oct 17 honeypots were being hit with cryptominers and proxyware.
Two more entries
- Siemens Software Center, CVE-2026-110936 — DLL search-path hijacking; Siemens reported on Oct 19 that it was exploited in ClickFix campaigns. Fixed in 4.0.9.8.
- SiteGuard Server Edition, CVE-2026-106931 — OS command injection in the Japanese WAF; fixed in 8.00 Update 5 and 7.00 Update 6.
What to do
Upgrade Plex Media Server to 1.43.3.10861 or later, especially if it is internet-facing, and check it for unknown processes. US federal agencies were given until Oct 23.