대상 독자: PC, NAS, 홈 서버, 클라우드 서버 또는 Docker에서 Plex Media Server를 운영하는 모든 사람, 특히 인터넷에서 접근할 수 있는 경우. 이 페이지는 Plex의 보안 공지, NVD, CISA의 권고 데이터와 KEV 카탈로그를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
진행 중: 추가 정보가 공개되는 대로 이 페이지를 업데이트합니다
- 대상
PC, NAS, 홈 서버, 클라우드 서버 또는 Docker에서 Plex Media Server를 운영하는 모든 사람, 특히 인터넷에서 접근할 수 있는 경우. 이 페이지는 Plex의 보안 공지, NVD, CISA의 권고 데이터와 KEV 카탈로그를 근거로 하며, 공격 절차나 익스플로잇 코드는 포함하지 않습니다.
- 확인된 영향 범위표 보기 ↓
- 영향 버전과 수정 버전
- 연결 시 로그인 불필요
- 오래된 서버에 대한 공격
2개 더 보기
- 침해된 서버의 용도
- CISA KEV
- 아직 확인되지 않은 사항
- 침해된 서버의 수
- 공격자가 채굴 프로그램과 프록시 소프트웨어 설치 외에 다른 행위를 했는지
- 모든 NAS 업체의 앱 스토어가 이제 수정 버전을 제공하는지
- 지금 할 일절차 보기 ↓
- 서버 버전을 확인하세요
- 1.43.3.10861 이상으로 업데이트하세요
- 노출을 줄이세요
2개 더 보기
- 이전 버전이 인터넷에서 접근 가능했다면 침해 여부를 점검하세요
- 서버가 접근할 수 있던 것은 노출된 것으로 다루세요
- 확인처(출처)출처 전체 ↓
- Plex, 「Important Security Update for Plex Media Server v1.43.2 and earlier」(9월 1일, 10월 19일 UTC 업데이트)
- 마지막 확인
- 2026년 10월 31일 기준(일본 시간)
후속 발표 예정과 확인 기록
Plex의 공지, 수정 릴리스, KEV 항목은 공개되어 있습니다. 10월 31일에 Plex의 포럼 게시물, NVD, CISA의 권고 데이터, KEV 피드(버전 2026.10.30)를 확인했습니다.
오늘 할 일
서버 버전을 확인하세요
Plex Web을 열고 설정 → 일반으로 가서 표시된 버전을 읽으세요. Plex에 따르면 1.43.3.10861 이상은 영향을 받지 않습니다. NAS나 예비 PC에 있는 오래된 서버를 포함해 운영 중인 모든 서버를 확인하세요.
1.43.3.10861 이상으로 업데이트하세요
Windows와 macOS에서는 자동 업데이트가 실제로 새 버전을 설치했는지 확인하거나, Plex의 다운로드 페이지에서 받으세요. Linux에서는 새 .deb 또는 .rpm 패키지를 설치하세요. Docker는 Plex의 Docker 저장소 안내에 따라 최신 이미지를 받으세요. NAS의 경우 Plex는 업체의 앱 스토어가 늦을 수 있다고 하므로, Plex에서 기기용 패키지를 받아 NAS의 수동 설치 기능을 쓰세요.
노출을 줄이세요
Plex는 필요하지 않다면 원격 접속(설정 → 원격 접속)을 끄고, 필요하지 않다면 포트 32400을 직접 전달하지 말라고 권합니다. 공유기에서 서버를 가리키는 포트 전달이나 UPnP 규칙이 있는지 확인하세요.
이전 버전이 인터넷에서 접근 가능했다면 침해 여부를 점검하세요
Plex는 그런 서버는 침해되었을 수 있다고 가정하라고 합니다. Plex의 점검 항목을 일반적으로 말하면, Plex Media Server가 시작한 알 수 없는 프로세스, Plex Codecs 폴더의 낯선 파일, 예상치 못한 외부 연결, 아무것도 재생하지 않는데 지속되는 높은 CPU 사용률입니다.
이 중 하나라도 발견하거나 침해를 배제할 수 없다면, Plex는 이전 Plex 데이터 폴더를 재사용하지 말고 깨끗한 설치로 서버를 다시 구축하라고 권합니다. 최소한 Codecs 폴더의 모든 파일을 삭제하고, Preferences.xml에 직접 설정하지 않은 트랜스코더 옵션이 없는지 확인하세요. 그런 다음 Plex 계정 설정에서 모든 기기를 로그아웃시키고 Plex 비밀번호를 변경하세요.
서버가 접근할 수 있던 것은 노출된 것으로 다루세요
Plex는 Plex 서비스 계정이 접근할 수 있던 모든 것, 예를 들어 마운트된 공유 폴더와 같은 컴퓨터나 가상 머신에 저장된 인증 정보를 노출되었을 수 있는 것으로 다루라고 합니다. 그곳에 저장된 비밀번호를 변경하고, 같은 네트워크의 다른 기기도 점검하세요.
공개된 내용
- 제품
- Plex Media Server. 자신의 동영상·음악·사진 라이브러리를 Plex 앱에 제공하는 소프트웨어
- CVE
- CVE-2026-96652(서버 측 요청 위조, SSRF), CVE-2026-96654(URL 값이 무해화되지 않음), CVE-2026-96655(SSRF. Plex는 소유자의 관리자 토큰 노출로 설명), CVE-2026-96656(관리자 사용자에 의한 임의 파일 쓰기)
- 연결 시 영향
- 연결하면 인증 없이 Plex Media Server 프로세스의 권한으로 코드 실행(Plex)
- 심각도
- 개별 CVSS v3.1 4.3–7.2(CVE 번호 부여 기관인 CISA의 점수). 연구자는 전체 체인을 9.8로 평가하지만 공식 점수는 아님
- 영향 버전
- 1.43.3.10861 이전 버전
- 수정 버전
- 1.43.3.10861(2026년 8월 4일 모든 사용자에게 배포). 10월 31일 기준 최신: 1.43.5.11079
- 악용
- 업데이트되지 않은 인터넷 노출 서버를 대상으로 「활발하고 광범위하게 악용」(Plex, 10월 19일 UTC)
- KEV
- 10월 20일 추가. 기한 10월 23일(CVE-2026-96654, -96656)과 11월 3일(CVE-2026-96652, -96655). CVE-2026-96656은 CISA의 포렌식 분류(forensic triage) 요건 대상으로도 표시됨
같은 릴리스에 대한 CISA의 권고 데이터에는 다섯 번째 취약점 CVE-2026-96651(경로 탐색, 유효한 세션 토큰으로 파일 읽기)도 있습니다. 같은 버전에서 수정되었으며 KEV 카탈로그에는 없습니다.
1. 버전 확인
설정 → 일반: 1.43.3.10861 이상인가?
2. 업데이트와 포트 차단
업데이트, 쓰지 않으면 원격 접속 끄기
3. 노출된 서버 점검
Plex의 점검 항목, 의심스러우면 재구축
타임라인
2026년 8월 3–4일
Plex Media Server 1.43.3.10861이 베타 채널(8월 3일)에, 이어서 모든 사용자(8월 4일)에게 배포됨.9월 1일
Plex가 모든 서버 소유자에게 1.43.3 이상으로 업데이트하라는 보안 공지를 게시하고, CVE를 요청했다고 밝힘.9월 23일
CVE 기록 공개, 수정 버전은 1.43.3.10861.10월 16일
체인을 찾은 보안 연구자가 Plex2Shell이라는 이름으로 세부 내용을 공개하고, 공개 개념 증명이 나옴(Plex).10월 17일
한 보안 연구자가 이 체인이 허니팟에 대해 악용되어 암호화폐 채굴 프로그램이 설치되는 것을 관측했다고 보고.10월 19일(UTC)
Plex가 CVE 목록을 추가해 공지를 업데이트하고, 이 취약점이 활발하고 광범위하게 악용되고 있다고 밝힘.10월 20일
CISA가 4건의 CVE를 모두 KEV 카탈로그에 추가.10월 26일
Plex Media Server 1.43.5.11079가 모든 사용자에게 배포됨.
알려진 것과 알려지지 않은 것
| 항목 | 출처의 내용 | 상태 |
|---|---|---|
| 영향 버전과 수정 버전 | 1.43.3.10861 이전, 1.43.3.10861에서 수정 | 확인 |
| 연결 시 로그인 불필요 | Plex가 명시 | 확인 |
| 오래된 서버에 대한 공격 | 활발하고 광범위하게 악용(Plex) | 악용 확인(Plex) |
| 침해된 서버의 용도 | 암호화폐 채굴 프로그램과 프록시 소프트웨어(Plex) | 악용 확인(Plex) |
| 침해된 서버의 수 | 공개되지 않음 | 공개되지 않음 |
| 서버의 데이터나 계정 인증 정보 탈취 | 공개되지 않음 | 공개되지 않음 |
| CISA KEV | 10월 20일 4건 모두 추가 | 확인 |
왜 점수가 위험을 가렸나
4건의 CVE 중 단독으로 7.2를 넘는 것은 없습니다. CVSS 벡터에 따르면 그중 3건은 로그인이 필요합니다. CVE-2026-96652와 CVE-2026-96655는 낮은 권한의 로그인, CVE-2026-96656은 관리자 권한입니다. Plex에 따르면 연결하면 둘 다 필요 없습니다. 개별 CVSS 점수로 정렬한 패치 대기열이라면 이들을 거의 맨 아래에 두었을 것이며, 그래서 여기서는 숫자보다 KEV 등재가 더 중요합니다(어떤 CVE부터 고칠지 정하는 방법 참조).
또한 수정은 세부 내용이 공개되기 두 달 이상 전부터 있었습니다. 자동으로 업데이트되는 서버는 이미 보호되어 있었습니다. 앱 스토어 배포가 늦은 NAS의 서버나, 한 번 설치하고 방치한 서버는 그렇지 않았습니다.
체인을 찾은 연구자는 취약점을 찾고 검증하는 데 대규모 언어 모델을 많이 사용했다고 적고 있습니다. 가정용 소프트웨어에서 작은 버그의 연결을 찾는 비용이 낮아지고 있어, 수정과 공격 사이의 간격이 줄어들 수 있습니다.
출처
2026년 10월 31일(일본 시간)에 확인.
- Plex, 「Important Security Update for Plex Media Server v1.43.2 and earlier」(9월 1일, 10월 19일 UTC 업데이트) — forums.plex.tv
- Plex, Plex Media Server 릴리스 공지 — forums.plex.tv
- NVD, CVE-2026-96652 — nvd.nist.gov / CVE-2026-96654 — nvd.nist.gov / CVE-2026-96655 — nvd.nist.gov / CVE-2026-96656 — nvd.nist.gov
- CISA, Plex Media Server에 대한 권고 데이터(VA-26-266-01) — github.com/cisagov
- CISA, Known Exploited Vulnerabilities Catalog(2026년 10월 20일 추가) — cisa.gov
- 보안 연구자의 체인 해설, Plex2Shell(2026년 10월 16일) — zmain.info
- 보안 연구자의 실제 악용 보고(2026년 10월 17일) — boredhackerblog.info
업데이트 기록
2026-10-31: Plex의 보안 공지, NVD, CISA의 권고 데이터와 KEV 카탈로그를 바탕으로 한 첫 버전.
다음으로 읽을 글
- 수정 우선순위: 어떤 CVE부터 고칠까(CVSS·EPSS·KEV)
- 침해 점검: 서버가 침해되었는지 확인하는 방법
- 같은 달에 악용된 취약점: 악용된 엣지 장비 취약점, 2026년 10월 중순
- 대응 절차: 취약점 대응 실무
- 용어: SSRF란? / RCE(원격 코드 실행)란? / CVSS란?