CVE-2026-96656: Вразливість Plex Media Server зовнішнього контролю імені файлу або шляху

Попередження CISA визначає вразливість як "CVE-2026-96656 Вразливість Plex Media Server зовнішнього контролю імені файлу або шляху"[3] і була однією з шести записів, доданих до його каталогу. Strix описує вразливість таким чином: "Plex Media Server до версії 1.43.3.10861 дозволяє адміністратору записувати довільні файли, які можуть бути виконані при завантаженні."[4] Згідно з SentinelOne, при запуску Plex завантажує всі файли .so без перевірки підписів, бітів виконання або очікуваних символів.[5]Censys повідомляє, що сама по собі помилка має оцінку 7.2[2]. Вона додає, що ланцюг є серйозним "оскільки вразливість з оцінкою 7.2 вимагає доступу адміністратора, а попередні вразливості надають неавтентифікованому зловмиснику такий доступ."[2]Згідно з SecurityOnline, зловмисники почали експлуатувати вразливості 17 жовтня 2026 року, на один день після того, як дослідник Zach Main опублікував повні деталі та PoC-код[6]. Однак BetaNews каже, що виклад був опублікований 16 жовтня, "в той же день, коли експлуатація почалась у великих масштабах."[7]Censys повідомляє, що у повідомленні Plex від 19 жовтня сказано скомпрометовані сервери були використані для запуску майнерів криптовалюти та проксі-програмного забезпечення[2]. BetaNews повідомляє, що Plex стверджує, що збірки номер 1.43.3.10861 та новіші не уражені.[7] Згідно з Censys, Plex каже, що сервер старіший за 1.43.3.10861, який був доступний з інтернету, слід розглядати як той, що може бути скомпрометований[2]. Трекер GitHub, що посилається на каталог CISA, зазначає дату відновлення KEV: 2026-10-23[8].