対象：Plex Media ServerをパソコンやNAS、家庭用サーバー、クラウドのサーバー、Dockerで動かしている人。特にインターネットから届く状態にしている場合。本記事はPlex自身のセキュリティのお知らせ、NVD、米CISAの勧告データとKEV一覧にもとづく解説で、攻撃の手順や攻撃コードは載せません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Plex Media ServerをパソコンやNAS、家庭用サーバー、クラウドのサーバー、Dockerで動かしている人。特にインターネットから届く状態にしている場合。
- 影響が確認された範囲表で見る ↓
- 対象の版と修正版
- 組み合わせるとログインが要らない
- 古い版のサーバーへの攻撃
さらに2件
- 侵害されたサーバーの使われ方
- 米CISAのKEV
- 未確認事項
- 侵害されたサーバーの数
- 攻撃者が採掘やプロキシのソフトの設置より先のことをしたか
- すべてのNAS各社のアプリストアに修正版が出ているか
- 今やること手順を見る ↓
- サーバーの版を確かめる
- 1.43.3.10861以降に上げる
- 外から届く範囲を減らす
さらに2件
- 古い版がインターネットから届いていたなら、侵害を点検する
- サーバーから届いたものも漏れた前提で扱う
- 確認先（出典）出典の一覧 ↓
- Plex「Important Security Update for Plex Media Server v1.43.2 and earlier」（9月1日、10月19日UTCに追記）
- 最終確認日時
- 2026年10月31日（日本時間）時点
発表の続報予定と確認の記録
Plexのお知らせ、修正版、KEVへの登録は公開済みです。10月31日に、Plexのフォーラムの投稿、NVD、米CISAの勧告データ、KEVのフィード（版2026.10.30）を確認しました。
今日やること
サーバーの版を確かめる
Plex Webを開き、「設定」→「全般」で表示される版を読みます。Plexによると、1.43.3.10861以降は対象外です。NASや使っていないパソコンに入れたままの古いサーバーも含め、動かしているすべてのサーバーを確かめます。
1.43.3.10861以降に上げる
WindowsとmacOSでは、自動更新で本当に新しい版が入っているか確かめるか、Plexのダウンロードページから取得します。Linuxでは新しい.debまたは.rpmのパッケージを入れます。DockerはPlexのDockerリポジトリの説明に沿って最新のイメージを取得します。NASでは、メーカーのアプリストアの更新が遅れることがあるとPlexは説明しており、Plexから機種に合うパッケージを取得して、NASの手動インストールの機能で入れます。
外から届く範囲を減らす
Plexは、遠隔アクセスが要らないなら「設定」→「リモートアクセス」で切ること、必要でない限りポート32400を直接転送しないことを勧めています。ルーターに、サーバーへ向けたポート転送やUPnPの設定が残っていないかも確かめます。
古い版がインターネットから届いていたなら、侵害を点検する
Plexは、そのようなサーバーは侵害されている可能性があると考えるよう求めています。点検する点は、一般的に言えば次のとおりです（Plexの案内から）。Plex Media Serverが起動した見覚えのないプロセス、PlexのCodecsフォルダーにある見覚えのないファイル、予期しない外向きの通信、再生していないのにCPUの使用率が高いままの状態。
どれかが見つかった、または侵害を否定できないときは、古いPlexのデータフォルダーを使い回さず、きれいなインストールからサーバーを作り直すようPlexは勧めています。最低限、Codecsフォルダーの中身をすべて消し、Preferences.xmlに自分で設定していないトランスコーダーの設定がないか確かめます。そのうえでPlexアカウントの設定からすべての端末をサインアウトさせ、Plexのパスワードを変えます。
サーバーから届いたものも漏れた前提で扱う
Plexは、Plexのサービス用アカウントが触れられたもの（マウントした共有フォルダー、同じマシンや仮想マシンに保存した認証情報など）は漏れた可能性があるものとして扱うよう求めています。そこに保存していたパスワードを変え、同じネットワークにある他の機器も見直します。
公表された内容
- 製品
- Plex Media Server。自分の動画・音楽・写真のライブラリをPlexのアプリへ配信するソフト
- CVE
- CVE-2026-96652（サーバーサイドリクエストフォージェリ＝SSRF）、CVE-2026-96654（URLの値の無害化の不備）、CVE-2026-96655（SSRF。Plexは「サーバーの持ち主の管理者トークンの漏えい」と説明）、CVE-2026-96656（管理者による任意のファイル書き込み）
- 組み合わせた影響
- 認証なしで、Plex Media Serverのプロセスの権限でコードを実行される（Plex）
- 深刻度
- 1件ずつはCVSS v3.1で4.3〜7.2（CVE番号を割り当てた米CISAの評価）。研究者は組み合わせ全体を9.8としているが、公式の評価ではない
- 対象
- 1.43.3.10861より前の版
- 修正版
- 1.43.3.10861（2026年8月4日に全員向けに公開）。10月31日時点の最新は1.43.5.11079
- 悪用
- 更新していないインターネット向けのサーバーに対して「広く悪用されている」（Plex、10月19日UTC）
- KEV
- 10月20日に追加。期限は10月23日（CVE-2026-96654、-96656）と11月3日（CVE-2026-96652、-96655）。CVE-2026-96656は米CISAのフォレンジック確認の対象にも指定
同じ版についての米CISAの勧告データには、5件目のCVE-2026-96651（パストラバーサル。有効なセッションのトークンでファイルを読める）も載っています。同じ版で修正済みで、KEVには載っていません。
1. 版を確かめる
設定→全般で1.43.3.10861以降か
2. 更新して口を閉じる
更新し、使わないならリモートアクセスを切る
3. 外から届いていたサーバーを点検
Plexの点検項目。迷えば作り直す
時系列
2026年8月3〜4日
Plex Media Server 1.43.3.10861がベータ版の利用者向け（8月3日）、続いて全員向け（8月4日）に公開される。9月1日
Plexがセキュリティのお知らせを出し、すべてのサーバーの持ち主に1.43.3以降への更新を求める。CVEを申請中と説明。9月23日
CVEの記録が公開され、修正版は1.43.3.10861とされる。10月16日
組み合わせを見つけたセキュリティ研究者が、Plex2Shellという名前で詳細を公開し、攻撃の実証コードが公開される（Plex）。10月17日
セキュリティ研究者が、攻撃を観測するためのおとりのサーバー（ハニーポット）で組み合わせが悪用され、暗号資産の採掘ソフトが入れられたと報告。10月19日（UTC）
Plexがお知らせにCVEの一覧を追記し、広く悪用されていると書く。10月20日
米CISAが4件をKEVに追加。10月26日
Plex Media Server 1.43.5.11079が全員向けに公開される。
分かっていること・分かっていないこと
| 項目 | 出典の内容 | 状態 |
|---|---|---|
| 対象の版と修正版 | 1.43.3.10861より前。1.43.3.10861で修正 | 確定 |
| 組み合わせるとログインが要らない | Plexが明記 | 確定 |
| 古い版のサーバーへの攻撃 | 広く悪用されている（Plex） | 悪用を確認（Plex） |
| 侵害されたサーバーの使われ方 | 暗号資産の採掘とプロキシのソフト（Plex） | 悪用を確認（Plex） |
| 侵害されたサーバーの数 | 公表なし | 記載なし |
| サーバーからのデータや認証情報の持ち出し | 公表なし | 記載なし |
| 米CISAのKEV | 10月20日に4件とも追加 | 確定 |
点数ではリスクが見えなかった理由
4件のどれも、1件だけでは7.2を超えません。CVSSの評価では、そのうち3件はログインが要ります（CVE-2026-96652とCVE-2026-96655は低い権限、CVE-2026-96656は管理者権限）。Plexによると、組み合わせるとどちらも要りません。CVSSの点数の順に修正を並べていたら、後ろの方に置かれたはずです。今回は点数よりKEVへの登録のほうが判断の材料になります（どのCVEから直すか）。
修正版は、詳細が公開される2か月以上前から出ていました。自動更新のサーバーはすでに守られていました。守られていなかったのは、アプリストアの更新が遅れたNASのサーバーや、一度設定したまま放っておいたサーバーです。
組み合わせを見つけた研究者は、脆弱性を探して確かめる作業に大規模言語モデル（AI）を多く使ったと書いています。家庭向けのソフトで、小さな不具合の組み合わせを見つける手間は下がっています。修正から攻撃までの間隔は短くなりえます。
出典
2026年10月31日（日本時間）に確認。
- Plex「Important Security Update for Plex Media Server v1.43.2 and earlier」（9月1日、10月19日UTCに追記） — forums.plex.tv
- Plex「Plex Media Server」リリースのお知らせ — forums.plex.tv
- NVD「CVE-2026-96652」 — nvd.nist.gov ／「CVE-2026-96654」 — nvd.nist.gov ／「CVE-2026-96655」 — nvd.nist.gov ／「CVE-2026-96656」 — nvd.nist.gov
- 米CISA、Plex Media Serverの勧告データ（VA-26-266-01） — github.com/cisagov
- 米CISA「Known Exploited Vulnerabilities Catalog」（2026年10月20日に追加） — cisa.gov
- セキュリティ研究者による組み合わせの解説「Plex2Shell」（2026年10月16日） — zmain.info
- セキュリティ研究者による悪用の報告（2026年10月17日） — boredhackerblog.info
更新履歴
2026-10-31：初版。Plexのセキュリティのお知らせ、NVD、米CISAの勧告データとKEV一覧にもとづく。
次に読む
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 侵害の確かめ方：サーバーが不正アクセスされたか調べる方法
- 同じ10月の悪用事例：悪用が確認された境界機器の脆弱性まとめ（2026年10月中旬）
- 対応手順：脆弱性が公表されたときの対応手順
- 用語：SSRFとは ／ リモートコード実行（RCE）とは ／ CVSSとは