Кібербезпека

CISA попереджає про Plex2Shell: терміново оновіть Plex Media Server

CISA зафіксувала активні зловмисні кампанії, що поєднують чотири вразливості Plex2Shell. Користувачам радять оновитися до виправленої версії щонайменше 1.43.3.10861.

2 хвилини читання
CISA попереджає про Plex2Shell: терміново оновіть Plex Media Server
Фото: Ars Technica

Агентство CISA попереджає: хакери активно експлуатують ланцюжок вразливостей Plex2Shell у Plex Media Server, що дозволяє викрасти адмін-токен і виконувати код із підвищеними правами. Федеральним установам наказано пріоритезувати виправлення або застосувати пом’якшення до 23 жовтня.

Попередження CISA щодо Plex2Shell
Попередження CISA щодо Plex2Shell. Фото: BleepingComputer

Що таке Plex2Shell

Plex2Shell — це ланцюжок із чотирьох вразливостей, який у сукупності отримав критичну оцінку 9.8. За даними CISA, проблеми впливають на версії Plex Media Server до 1.43.3.10861 (реліз від 4 серпня).

  • CVE-2026-96652: неавтентифікований SSRF у /player/timeline, змушує Plex надсилати POST-запити на довільні адреси, зокрема до внутрішніх API.
  • CVE-2026-96654: ін’єкція URL у searchOne, що дає змогу викликати функції інших плагінів із підконтрольними параметрами.
  • CVE-2026-96655: автентифікований SSRF у транскодері для доступу до довільних внутрішніх або зовнішніх адрес.
  • CVE-2026-96656: довільний запис файлів у налаштуваннях транскодера, який дозволяє підкинути шкідливі бібліотеки і досягти виконання коду.

Експлуатація «в полі» і публікація PoC

Дослідник Zach Main розкрив технічні деталі 16 жовтня, а через три дні опублікував PoC-експлойт. Уже з 17 жовтня почали надходити звіти про реальні атаки, спершу на honeypot-сервери Plex із розгортанням криптомайнера.

Як знайшли ланцюжок і роль ШІ

За даними Ars Technica, автор баґрепорту активно використовував інструменти штучного інтелекту під час розробки ланцюжка експлуатації — для розбиття системи на компоненти, картографування шляхів від введення до «небезпечних» точок, спростування гіпотез і збирання ланцюга. Водночас це не був «автоматичний злам»: рішення і пріоритети визначав дослідник, а ШІ пришвидшував і структурував роботу.

Що робити користувачам

Оновіть Plex Media Server щонайменше до версії 1.43.3.10861 (Ars Technica також радить 1.43.3). Вмикайте автооновлення або інсталюйте вручну. Додатково:

  • за можливості обмежте доступ серверу локальною мережею без виходу в інтернет;
  • якщо потрібен публічний доступ — пропускайте трафік через reverse proxy, не використовуйте стандартний порт 32400;
  • користуйтеся лише офіційними застосунками Plex і ставте надійні паролі.

Інші актуальні попередження CISA

До каталогу KEV також додано уразливість у Siemens Software Center (CVE-2026-110936), яку пов’язують із платформою доставки Romulus/ClickFix; Siemens радить оновитися до версії 4.0.9.8 або новішої. Окремо додано CVE-2026-106931 — ін’єкція команд ОС у SiteGuard Server Edition; постачальник закликає перейти на випуски 8.00 Update 5 (Apache httpd, Nginx, IIS) та 7.00 Update 6 і новіші для FreeBSD.

Джерела

Читайте також