CVE-2026-96656: Уязвимость Plex Media Server с внешним контролем имени файла или пути

Предупреждение CISA описывает уязвимость как "CVE-2026-96656 Уязвимость Plex Media Server с внешним контролем имени файла или пути"[3] и была одной из шести записей, добавленных в его каталог. Strix описывает уязвимость следующим образом: "Plex Media Server версий ниже 1.43.3.10861 позволяет администратору записывать произвольные файлы, которые могут выполняться при загрузке."[4] По данным SentinelOne, при запуске Plex загружает все файлы .so без проверки подписей, битов выполнения или ожидаемых символов.[5]Censys сообщает, что сама по себе ошибка получает оценку 7.2[2]. Компания добавляет, что цепочка серьезна "потому что уязвимость с оценкой 7.2 требует доступа администратора, а более ранние уязвимости дают неаутентифицированному злоумышленнику этот доступ."[2]По данным SecurityOnline, злоумышленники начали использовать уязвимости 17 октября 2026 года, через день после того, как исследователь Zach Main опубликовал полные детали и код PoC[6]. Однако BetaNews говорит, что статья была опубликована 16 октября, "в тот же день, когда началась активная эксплуатация."[7]Censys сообщает, что в уведомлении Plex от 19 октября говорится скомпрометированные серверы использовались для запуска майнеров криптовалют и прокси-программ[2]. BetaNews сообщает, что Plex говорит, что сборки номер 1.43.3.10861 и выше не подвержены уязвимости.[7] По данным Censys, Plex говорит, что сервер более старой версии, чем 1.43.3.10861, доступный из интернета, следует рассматривать как потенциально скомпрометированный[2]. На GitHub-трекере, ссылающемся на каталог CISA, указана дата исправления KEV: 2026-10-23[8].