Apa yang terjadi
Terverifikasi pada postingan forum Plex (pembaruan keamanan vendor; utas diperbarui dengan detail CVE dan status eksploitasi): keempat CVE dirantai menjadi eksekusi kode jarak jauh tanpa autentikasi; vendor menyatakan kerentanan tersebut 'sedang dieksploitasi secara aktif dan luas', PoC publik dirilis 16 Okt, dan server yang dikompromikan telah diamati menjalankan penambang cryptocurrency dan perangkat lunak proxy. CISA menambahkan keempatnya ke KEV pada 2026-10-20 dengan konfirmasi eksploitasi di dunia nyata. Item server media konsumen non-AI dipertahankan sesuai kebijakan cakupan KEV.
Mengapa penting
Non-AI KEV, tetapi ini adalah rantai unauthenticated-RCE yang aktif dan dieksploitasi secara massal dengan PoC publik 16 Okt — salah satu sinyal 'patch sekarang atau anggap diretas' paling jelas dalam jendela pelaporan, dan server Plex sering berada di LAN/VLAN yang sama dengan workstation AI/GPU lab rumah.
Vektor serangan
Dirantai: CVE-2026-96652 SSRF tanpa autentikasi di endpoint timeline pemutar; CVE-2026-96654 akses ke fungsi agen internal melalui loopback; CVE-2026-96655 pengungkapan token admin pemilik server; CVE-2026-96656 penulisan file arbitrer ke direktori Codecs melalui preferensi transcoder — bersama-sama memberikan penyerang jarak jauh tanpa autentikasi eksekusi kode dalam proses Plex Media Server.
Sistem yang terdampak
Plex Media Server < 1.43.3.10861 (diperbaiki 1.43.3.10861+, Plex Desktop 1.115.0); paket NAS/Docker/NVIDIA Shield sesuai vendor
Mitigasi
Perbarui Plex Media Server ke 1.43.3.10861 atau lebih baru segera (sesuai postingan forum vendor, diambil); periksa proses penambang/proxy (myawesomeproxy, mylovelyminer, x12345), file .so/.dll yang tidak dikenal di folder Codecs, lalu lintas keluar ke proxystream.st; jika dikompromikan, bangun ulang dari instalasi bersih, keluar dari semua perangkat, ubah kata sandi Plex; nonaktifkan akses jarak jauh / hindari meneruskan port 32400 jika tidak diperlukan. Batas waktu federal 2026-10-23 (96652/96654/96656).