CVE-2026-96656: Plex Media Server External Control of File Name or Path Vulnerability

CISAのアラートは、この脆弱性を「CVE-2026-96656 Plex Media Server External Control of File Name or Path Vulnerability」[3]と列挙しており、そのカタログに追加された6つのエントリの1つでした。Strixはこの脆弱性を次のように説明しています:「Plex Media Server 1.43.3.10861より前のバージョンは、管理者ユーザーが読み込み時に実行される可能性のある任意のファイルを書き込むことを許可しています。」[4]SentinelOneによると、起動時にPlexは署名、実行ビット、または予期されたシンボルを検証せずにすべての.soファイルを読み込みます。[5]Censysは、単独ではこのバグのスコアが7.2[2]であると報告しています。チェーンが深刻である理由は「スコア7.2の脆弱性は管理者アクセスを必要とし、以前の脆弱性は認証されていない攻撃者にそのアクセスを提供するため」[2]SecurityOnlineによると、攻撃者は2026年10月17日に脆弱性の悪用を開始し、これは研究者Zach Mainが完全な詳細とPoC コードを公開した1日後でした。[6]ただし、BetaNewsは、このレポートが10月16日に公開されたと述べており、「同じ日に本格的な悪用が始まりました。」[7]Censysは、Plexの10月19日の通知が以下の内容であると報告しています:侵害されたサーバーは暗号通貨マイナーとプロキシソフトウェアを実行するために使用されています。[2]BetaNewsはPlexが次のように述べていると報告しています:ビルド番号1.43.3.10861以降は影響を受けません。[7]Censysによると、Plexは1.43.3.10861より古いサーバーがインターネットからアクセス可能であった場合は、侵害されている可能性があるサーバーとして扱われるべきだと述べています。[2]CISAカタログを引用するGitHubトラッカーはKEV修復期限:2026-10-23[8]をリストしています。