무슨 일이 있었나
CISA는 2026-10-20에 네 개의 연결된 Plex Media Server CVE를 Known Exploited Vulnerabilities 카탈로그에 추가했으며, 야외에서의 악용이 확인되었습니다: CVE-2026-96652(모든 X-Plex-Token을 통한 SSRF로 공격자가 선택한 목적지에 POST 강제), CVE-2026-96654(인코딩된 URI 스킴의 부적절한 무력화로 다른 플러그인 함수를 공격자 제공 매개변수로 호출 가능), CVE-2026-96655(/video/:/transcode/universal 경로 매개변수를 통한 SSRF), CVE-2026-96656(파일 이름/경로의 외부 제어로 관리자가 로드 시 실행될 수 있는 파일을 작성 가능).
왜 중요한가
이것은 널리 배포된 자체 호스팅 서버에 대한 KEV 확인 야외 체인입니다. AI 특정 표적은 아니지만, KEV 상태가 활발한 악용을 나타내며 체인(SSRF + 파일 쓰기 + 플러그인 호출)이 공격자들이 AI 지원 도구로 구동하는 동일한 측면 이동 프리미티브이기 때문에 표면화되었습니다. 도달 가능한 호스트에서 Plex를 실행하는 모든 조직은 지금 패치해야 합니다.
공격 경로
Plex 호스트에서 서버 측 요청 및 파일 쓰기를 강제하는 비인증/인증 요청
영향받는 시스템
Plex Media Server v1.43.2 이하 (체인: CVE-2026-96652/96654/96655/96656)
완화 방안
벤더 포럼 업데이트에 따라 Plex Media Server 업그레이드; CISA BOD 26-04 완화 조치 및 포렌식 지침 적용