CVE-2026-96656: Vulnerabilidade de Controle Externo de Nome de Arquivo ou Caminho do Plex Media Server

O alerta da CISA lista a falha como "CVE-2026-96656 Vulnerabilidade de Controle Externo de Nome de Arquivo ou Caminho do Plex Media Server"[3] e foi uma das seis entradas adicionadas ao seu catálogo. Strix descreve a falha desta forma: "Plex Media Server anterior à versão 1.43.3.10861 permite que um usuário administrador escreva arquivos arbitrários que podem ser executados ao carregar."[4] Segundo a SentinelOne, na inicialização o Plex carrega todos os arquivos .so sem verificar assinaturas, bits de execução ou símbolos esperados.[5]A Censys relata que por si só o bug recebe uma pontuação de 7,2[2]. Ela acrescenta que a cadeia é séria "porque a falha com pontuação 7,2 requer acesso de administrador, e as falhas anteriores concedem esse acesso a um atacante não autenticado."[2]Segundo a SecurityOnline, os atacantes começaram a explorar as vulnerabilidades em 17 de outubro de 2026, um dia após o pesquisador Zach Main publicar todos os detalhes e código PoC[6]. BetaNews, porém, diz que o relato foi publicado em 16 de outubro, "o mesmo dia em que a exploração começou em massa."[7]A Censys relata que o aviso de 19 de outubro do Plex diz que servidores comprometidos foram usados para executar mineradores de criptomoedas e software proxy[2]. BetaNews relata que o Plex disse que versões numeradas 1.43.3.10861 e posteriores não são afetadas.[7] Segundo a Censys, o Plex diz que um servidor anterior à versão 1.43.3.10861 que era acessível pela internet deve ser tratado como um que pode estar comprometido[2]. Um rastreador do GitHub citando o catálogo da CISA lista uma data de vencimento de remediação KEV: 2026-10-23[8].