事件经过
在Plex论坛帖子（厂商安全更新；帖子已更新CVE详情和利用状态）上验证：这四个CVE链式组合为未认证远程代码执行；厂商表示这些漏洞“正在被积极且广泛利用”，10月16日发布了公开PoC，已观察到被入侵的服务器运行加密货币矿工和代理软件。CISA于2026-10-20将全部四个加入KEV，并确认存在野外利用。根据KEV覆盖政策，保留此非AI消费媒体服务器条目。
影响分析
非AI KEV，但这是一个活跃的、大规模利用的未认证RCE链，且有10月16日的公开PoC——报告窗口内最明确的“立即修补否则视为已被入侵”信号之一，且Plex服务器常与家庭实验室AI/GPU工作站位于同一LAN/VLAN。
攻击途径
链式组合：CVE-2026-96652玩家时间线端点中的未认证SSRF；CVE-2026-96654通过环回访问内部代理功能；CVE-2026-96655泄露服务器所有者管理员令牌；CVE-2026-96656通过转码器首选项向Codecs目录任意写入文件——共同使未认证远程攻击者能够在Plex媒体服务器进程中执行代码。
受影响系统
Plex媒体服务器 < 1.43.3.10861（修复于1.43.3.10861+，Plex桌面版1.115.0）；NAS/Docker/NVIDIA Shield包按厂商说明
缓解措施
立即将Plex媒体服务器更新到1.43.3.10861或更高版本（按厂商论坛帖子，已获取）；检查矿工/代理进程（myawesomeproxy、mylovelyminer、x12345）、Codecs文件夹中的陌生.so/.dll文件、到proxystream.st的出站连接；如果被入侵，从干净安装重建，注销所有设备，更改Plex密码；如不需要则禁用远程访问/避免转发端口32400。联邦截止日期2026-10-23（96652/96654/96656）。