CVE-2026-96656: Plex Media Server External Control of File Name or Path Vulnerability

CISAs Meldung führt die Sicherheitslücke als "CVE-2026-96656 Plex Media Server External Control of File Name or Path Vulnerability"[3] auf und war einer von sechs Einträgen, die zu seinem Katalog hinzugefügt wurden.Strix beschreibt die Sicherheitslücke wie folgt: "Plex Media Server vor 1.43.3.10861 ermöglicht es einem Admin-Benutzer, beliebige Dateien zu schreiben, die beim Laden ausgeführt werden können."[4] Laut SentinelOne lädt Plex beim Start alle .so-Dateien ohne Überprüfung von Signaturen, Execute-Bits oder erwarteten Symbolen.[5]Censys meldet, dass der Fehler für sich genommen eine Bewertung von 7,2[2] erhält. Hinzu kommt, dass die Verkettung ernst ist "da die Sicherheitslücke mit einer Bewertung von 7,2 Admin-Zugriff erfordert, und die früheren Schwachstellen einem nicht authentifizierten Angreifer diesen Zugriff ermöglichen."[2]Laut SecurityOnline begannen Angreifer am 17. Oktober 2026 mit der Ausnutzung der Sicherheitslücken, einen Tag nachdem Forscher Zach Main alle Details und PoC-Code veröffentlicht hatte[6]. BetaNews zufolge erschien die Beschreibung jedoch am 16. Oktober, "am selben Tag, an dem die Ausnutzung in vollem Umfang begann."[7]Censys meldet, dass Plex' Mitteilung vom 19. Oktober besagt, dass kompromittierte Server zum Ausführen von Kryptowährungs-Minern und Proxy-Software verwendet wurden[2].BetaNews berichtet, dass Plex aussagt, dass Builds mit den Nummern 1.43.3.10861 und später nicht betroffen sind.[7] Laut Censys teilt Plex mit, dass ein Server älter als 1.43.3.10861, der aus dem Internet erreichbar war, als möglicherweise kompromittiert behandelt werden sollte[2].Ein GitHub-Tracker, der auf den CISA-Katalog verweist, führt ein KEV-Abhilfefälligkeitsdatum auf: 2026-10-23[8].