何が起きたか
CISAは2026-10-20に、4つの連鎖するPlex Media Server CVEを既知の悪用脆弱性カタログに追加しました。実地での悪用が確認されています：CVE-2026-96652（任意のX-Plex-Tokenを介したSSRFで、攻撃者が選択した宛先へのPOSTを強制可能）、CVE-2026-96654（エンコードされたURIスキームの不適切な無害化により、攻撃者提供のパラメータで他のプラグインの関数を呼び出し可能）、CVE-2026-96655（/video/:/transcode/universalパスパラメータを介したSSRF）、CVE-2026-96656（ファイル名/パスの外部制御により、管理者がロード時に実行される可能性のあるファイルを書き込み可能）。
なぜ重要か
これは広く展開されたセルフホストサーバーに対するKEV確認済みの実地悪用チェーンです。AI固有のターゲットではありませんが、KEVステータスが活発な悪用を示し、チェーン（SSRF + ファイル書き込み + プラグイン呼び出し）が攻撃者がAI支援ツールで現在駆動している横方向移動プリミティブと同じであるため、表面化されています。到達可能なホストでPlexを実行している組織は、今すぐパッチを適用してください。
攻撃経路
Plexホスト上でサーバーサイドリクエストとファイル書き込みを強制する認証なし/認証済みリクエスト
影響を受けるシステム
Plex Media Server v1.43.2以前（チェーン：CVE-2026-96652/96654/96655/96656）
緩和策
ベンダーフォーラムのアップデートに従ってPlex Media Serverをアップグレードする。CISA BOD 26-04の緩和策とフォレンジックガイダンスを適用する