2026-10-31
Plex2Shell: четыре CVE в Plex Media Server эксплуатируются на практике (обновитесь до 1.43.3.10861 или новее)
Plex2Shell — название, которое исследователь безопасности дал четырем уязвимостям в Plex Media Server: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. По словам Plex, объединенные в цепочку, они позволяют удаленному злоумышленнику без аутентификации выполнять код с привилегиями процесса Plex Media Server. Все четыре исправлены в версии 1.43.3.10861, выпущенной для всех пользователей 4 августа 2026 года. 19 октября (UTC) Plex написала, что после появления общедоступного proof of concept 16 октября уязвимости активно и массово эксплуатируются, а скомпрометированные серверы использовались для запуска майнеров криптовалюты и прокси-программ. CISA добавило все четыре в каталог Known Exploited Vulnerabilities (KEV) 20 октября со сроками 23 октября и 3 ноября. По отдельности каждая CVE получает лишь от 4,3 до 7,2 (CVSS v3.1). Наш вывод: если вы запускаете Plex Media Server, сегодня же проверьте, что установлена версия 1.43.3.10861 или новее, не открывайте порт 32400 напрямую, если удаленный доступ не нужен, а если старая версия была доступна из интернета, выполните проверки на компрометацию от Plex и при сомнениях переустановите сервер.