事件经过
CISA 于 2026-10-20 将四个链式 Plex 媒体服务器 CVE 添加到已知被利用漏洞目录中，并确认在野利用：CVE-2026-96652（通过任何 X-Plex-Token 的 SSRF，允许攻击者强制向所选目的地发起 POST）、CVE-2026-96654（编码 URI 方案的错误中和，允许以攻击者提供的参数调用其他插件功能）、CVE-2026-96655（通过 /video/:/transcode/universal 路径参数的 SSRF）以及 CVE-2026-96656（外部控制文件名/路径，允许管理员写入加载时可执行的文件）。
影响分析
这是在广泛部署的自托管服务器上确认的在野利用链。它不是 AI 特定的目标，但其被提出是因为 KEV 状态表示积极利用，且该链（SSRF + 文件写入 + 插件调用）正是攻击者现在借助 AI 辅助工具驱动的横向移动原语。对于任何在可访问主机上运行 Plex 的组织，请立即修补。
攻击途径
未认证/认证请求强制在 Plex 主机上发起服务器端请求和文件写入
受影响系统
Plex 媒体服务器 v1.43.2 及更早版本（链：CVE-2026-96652/96654/96655/96656）
缓解措施
按照供应商论坛更新升级 Plex 媒体服务器；应用 CISA BOD 26-04 缓解措施和取证指南