何が起きたか
Plexフォーラム投稿 (ベンダーのセキュリティアップデート、CVE詳細と悪用状況で更新済み) で検証済み: 4つのCVEが連鎖して未認証のリモートコード実行に至る。ベンダーはこれらの欠陥が「活発かつ広範に悪用されている」と述べており、公開PoCは10月16日にリリースされ、侵害されたサーバーで暗号通貨マイナーとプロキシソフトウェアの実行が観測されている。CISAは2026年10月20日にこれら4件すべてをKEVに追加し、実際の悪用を確認した。非AIコンシューマーメディアサーバーの項目だが、KEVカバレッジポリシーに基づき保持。
なぜ重要か
非AIのKEVだが、これは現在進行中の大規模悪用される未認証RCEチェーンであり、10月16日の公開PoCがある。報告期間中で最も明確な「今すぐパッチ適用か、侵害を想定せよ」というシグナルの一つであり、PlexサーバーはホームラボのAI/GPUワークステーションと同じLAN/VLAN上に存在することが多い。
攻撃経路
連鎖: CVE-2026-96652はプレイヤータイムラインエンドポイントにおける未認証SSRF、CVE-2026-96654はループバック経由の内部エージェント機能へのアクセス、CVE-2026-96655はサーバー所有者の管理トークンの開示、CVE-2026-96656はトランスコーダー設定を介したCodecsディレクトリへの任意ファイル書き込み — これらが組み合わさり、未認証のリモート攻撃者がPlex Media Serverプロセスでコード実行を行える。
影響を受けるシステム
Plex Media Server < 1.43.3.10861 (修正版 1.43.3.10861+、Plex Desktop 1.115.0)。NAS/Docker/NVIDIA Shield パッケージはベンダーによる。
緩和策
Plex Media Serverを直ちに1.43.3.10861以降に更新する (取得したベンダーフォーラム投稿による)。マイナー/プロキシプロセス (myawesomeproxy、mylovelyminer、x12345)、Codecsフォルダ内の不審な.so/.dll、proxystream.stへの外部送信を確認する。侵害された場合、クリーンインストールから再構築し、すべてのデバイスからサインアウトし、Plexパスワードを変更する。不要であればリモートアクセスを無効化し、ポート32400の転送を避ける。連邦政府の期限は2026年10月23日 (96652/96654/96656)。