2026-10-31
Plex2Shell：Plex Media Serverの4つの脆弱性が悪用されている（1.43.3.10861以降へ更新）
Plex2Shellは、セキュリティ研究者がPlex Media Serverの4つの脆弱性（CVE-2026-96652、CVE-2026-96654、CVE-2026-96655、CVE-2026-96656）に付けた名前。Plexによると、4つを組み合わせると、遠隔の攻撃者が認証なしで、Plex Media Serverのプロセスの権限でコードを実行できる。4件とも1.43.3.10861で修正され、この版は2026年8月4日に全員向けに公開された。Plexは10月19日（UTC）、10月16日に攻撃の実証コードが公開されてから広く悪用されており、侵害されたサーバーが暗号資産の採掘やプロキシのソフトの実行に使われていると書いた。米CISAは10月20日に4件をKEV（悪用が確認された脆弱性の一覧）に追加し、対応期限は10月23日と11月3日。1件ずつのCVSS（v3.1）は4.3〜7.2にとどまる。当サイトの結論：Plex Media Serverを動かしているなら、今日1.43.3.10861以降か確かめ、遠隔アクセスが要らなければポート32400の直接公開をやめ、古い版がインターネットから届いていたならPlexの点検項目で確かめ、迷えば作り直す。