무슨 일이 있었나
Plex 포럼 게시물에서 검증됨 (공급업체 보안 업데이트; 해당 스레드에 CVE 세부 정보 및 악용 상태 업데이트됨): 4개 CVE가 연쇄되어 인증 없는 원격 코드 실행을 초래함; 공급업체는 해당 결함이 '활발하고 광범위하게 악용되고 있다'고 명시, 공개 PoC는 10월 16일 공개되었으며, 손상된 서버에서 암호화폐 채굴기와 프록시 소프트웨어가 실행되는 것이 관찰됨. CISA는 2026-10-20에 4개 모두를 KEV에 추가하며 실제 악용을 확인함. 비AI 소비자 미디어 서버 항목은 KEV 적용 범위 정책에 따라 유지됨.
왜 중요한가
비AI KEV이지만, 실시간 대규모 악용 중인 인증 없는 RCE 연쇄 공격이며 10월 16일 공개 PoC가 있음 — 보고 기간 내 '지금 패치하거나 침해된 것으로 간주하라'는 가장 명확한 신호 중 하나이며, Plex 서버는 홈랩 AI/GPU 워크스테이션과 동일한 LAN/VLAN에 있는 경우가 많음.
공격 경로
연쇄 공격: CVE-2026-96652 플레이어 타임라인 엔드포인트의 인증 없는 SSRF; CVE-2026-96654 루프백을 통한 내부 에이전트 기능 접근; CVE-2026-96655 서버 소유자의 관리자 토큰 노출; CVE-2026-96656 트랜스코더 환경설정을 통한 Codecs 디렉토리로의 임의 파일 쓰기 — 이들이 결합되어 인증 없는 원격 공격자가 Plex Media Server 프로세스에서 코드를 실행할 수 있음.
영향받는 시스템
Plex Media Server < 1.43.3.10861 (1.43.3.10861+에서 수정됨, Plex Desktop 1.115.0); 공급업체에 따라 NAS/Docker/NVIDIA Shield 패키지
완화 방안
Plex Media Server를 즉시 1.43.3.10861 이상으로 업데이트하십시오 (공급업체 포럼 게시물 기준, 가져옴); 채굴기/프록시 프로세스 (myawesomeproxy, mylovelyminer, x12345), Codecs 폴더의 익숙하지 않은 .so/.dll, proxystream.st로의 외부 연결 확인; 손상된 경우 클린 설치로 재구축하고 모든 기기에서 로그아웃, Plex 비밀번호 변경; 필요하지 않으면 원격 접근 비활성화 / 포트 32400 전달 회피. 연방 마감일 2026-10-23 (96652/96654/96656).