安全指南

#漏洞 #Plex2Shell #Plex Media Server #CVE-2026-96652 #CVE-2026-96654 #CVE-2026-96655 #CVE-2026-96656 #NAS #远程代码执行 #暴露的服务 #AI 安全

Plex2Shell：Plex Media Server 的四个 CVE 已在野外被利用（请更新到 1.43.3.10861 或更高版本）

低于 1.43.3.10861 的 Plex Media Server 存在可串联的四个 CVE（Plex2Shell），10月20日起列入 CISA KEV。Plex 称攻击广泛。版本确认、更新与检查。

发布于 2026-10-31 更新于 2026-10-31 最后核实 2026-10-31 4 分钟阅读

本页目录

适用对象：在 PC、NAS、家庭服务器、云服务器或 Docker 中运行 Plex Media Server 的所有人，尤其是服务器可从互联网访问的情况。本文基于 Plex 自己的安全通知、NVD、CISA 的公告数据和 KEV 目录，不包含攻击步骤或利用代码。

持续更新中：随着更多信息发布，本页面将会更新

适用对象: 在 PC、NAS、家庭服务器、云服务器或 Docker 中运行 Plex Media Server 的所有人，尤其是服务器可从互联网访问的情况。
已确认的影响范围查看表格 ↓: 受影响版本和修复版本
串联后无需登录
针对过时服务器的攻击
另外2项
被入侵的服务器被用于什么
CISA KEV
尚未确认的事项: 有多少台服务器已被入侵
攻击者除了安装挖矿程序和代理软件之外是否还做了其他事
各 NAS 厂商的应用商店是否都已提供修复版本
现在要做的事查看步骤 ↓: 检查服务器版本
更新到 1.43.3.10861 或更高版本
减少暴露
另外2项
如果旧版本曾可从互联网访问，请检查是否被入侵
把服务器能访问到的内容视为已暴露
核实来源（出处）全部来源 ↓: Plex，"Important Security Update for Plex Media Server v1.43.2 and earlier"（9月1日，10月19日 UTC 更新）
最后核实: 截至2026年10月31日（日本时间）

续报计划与核实记录

Plex 的通知、修复版本和 KEV 条目均已公开。我们在10月31日核对了 Plex 的论坛帖子、NVD、CISA 的公告数据以及 KEV 数据源（版本 2026.10.30）。

今天要做的事

检查服务器版本

打开 Plex Web，进入“设置”→“常规”，查看显示的版本。Plex 表示 1.43.3.10861 及更高版本不受影响。请检查您运行的每一台服务器，包括 NAS 或备用 PC 上的旧服务器。

更新到 1.43.3.10861 或更高版本

在 Windows 和 macOS 上，请确认自动更新确实已安装新版本，或从 Plex 的下载页面下载。在 Linux 上，请安装新的 .deb 或 .rpm 软件包。对于 Docker，请按照 Plex 的 Docker 仓库中的说明拉取当前镜像。在 NAS 上，Plex 表示厂商的应用商店可能会滞后；请从 Plex 下载适用于您设备的软件包，并使用 NAS 的手动安装选项。

减少暴露

Plex 建议，如果不需要“远程访问”（“设置”→“远程访问”），就将其关闭；除非确有需要，否则避免直接转发 32400 端口。请检查路由器上是否有指向该服务器的端口转发或 UPnP 规则。

如果旧版本曾可从互联网访问，请检查是否被入侵

Plex 表示，应假定这样的服务器可能已被入侵。其检查要点概括如下：由 Plex Media Server 启动、您不认识的进程，Plex Codecs 文件夹中陌生的文件，意外的出站连接，以及在没有播放任何内容时 CPU 持续高负载。

如果发现上述任何情况，或无法排除被入侵的可能，Plex 建议从全新安装重建服务器，而不是继续使用旧的 Plex 数据文件夹。至少要删除 Codecs 文件夹中的所有内容，并检查 Preferences.xml 中是否有您未设置的转码器选项。然后在 Plex 账户设置中退出所有设备的登录，并更改 Plex 密码。

把服务器能访问到的内容视为已暴露

Plex 表示，应把 Plex 服务账户能访问到的一切都视为可能已暴露，例如挂载的共享文件夹以及存储在同一台机器或虚拟机上的凭据。请更改存储在那里的密码，并检查同一网络中的其他设备。

已披露的内容

Plex Media Server：四个可串联的漏洞（Plex2Shell）

产品: Plex Media Server，一款把您自己的视频、音乐和照片库提供给 Plex 应用的软件
CVE: CVE-2026-96652（服务器端请求伪造，SSRF）、CVE-2026-96654（URL 值未经无害化处理）、CVE-2026-96655（SSRF；Plex 将其描述为所有者管理令牌的泄露）、CVE-2026-96656（管理员用户可写入任意文件）
串联后的影响: 串联后，无需身份验证即可以 Plex Media Server 进程的权限执行代码（Plex）
严重程度: 单个 CVSS v3.1 为 4.3 至 7.2（评分来自作为 CVE 编号机构的 CISA）。研究人员将整条攻击链评为 9.8，但这不是官方评分
受影响: 低于 1.43.3.10861 的版本
已修复: 1.43.3.10861（2026年8月4日向所有用户发布）。10月31日的最新版本：1.43.5.11079
利用情况: 针对未更新、面向互联网的服务器“被积极且广泛地利用”（Plex，10月19日 UTC）
KEV: 10月20日列入。截止日期为10月23日（CVE-2026-96654、-96656）和11月3日（CVE-2026-96652、-96655）。CVE-2026-96656 还被标注为适用 CISA 的取证分级要求

CISA 针对同一版本的公告数据还列出了第五个漏洞 CVE-2026-96651（路径遍历，持有有效会话令牌即可读取文件）。它在同一版本中已修复，不在 KEV 目录中。

攻击链中的 CVE，全部列入 CISA KEV

4.3-7.2

单个 CVSS v3.1 评分

1.43.3.10861

首个修复版本（8月4日）

11月3日

四个漏洞中最晚的 KEV 截止日期

1. 检查版本

设置→常规：是否为 1.43.3.10861 或更高？

2. 更新并关闭端口

更新；不用时关闭远程访问

3. 检查曾暴露的服务器

按 Plex 的检查要点；有疑问就重建

今天的工作顺序

时间线

2026年8月3日至4日
Plex Media Server 1.43.3.10861 先发布到 beta 渠道（8月3日），随后向所有用户发布（8月4日）。
9月1日
Plex 发布安全通知，要求所有服务器所有者更新到 1.43.3 或更新版本，并表示已申请 CVE。
9月23日
CVE 记录公布，修复版本为 1.43.3.10861。
10月16日
发现该攻击链的安全研究人员以 Plex2Shell 为名公布了详细信息，公开的概念验证代码出现（Plex）。
10月17日
一位安全研究人员报告称，观察到该攻击链被用于攻击蜜罐并安装加密货币挖矿程序。
10月19日（UTC）
Plex 更新其通知，补充了 CVE 列表，并表示这些漏洞正被积极且广泛地利用。
10月20日
CISA 将四个 CVE 全部加入 KEV 目录。
10月26日
Plex Media Server 1.43.5.11079 向所有用户发布。

已知与未知的信息

项目	来源的说法	状态
受影响版本和修复版本	低于 1.43.3.10861；在 1.43.3.10861 中修复	已确认
串联后无需登录	Plex 表示	已确认
针对过时服务器的攻击	被积极且广泛地利用（Plex）	已确认被滥用（Plex）
被入侵的服务器被用于什么	加密货币挖矿程序和代理软件（Plex）	已确认被滥用（Plex）
被入侵服务器的数量	未公布	未说明
服务器上的数据或账户凭据是否被窃取	未公布	未说明
CISA KEV	四个漏洞均于10月20日列入	已确认

为什么评分掩盖了风险

四个 CVE 中没有一个的单独评分超过 7.2。根据其 CVSS 向量，其中三个需要登录：CVE-2026-96652 和 CVE-2026-96655 需要低权限账户，CVE-2026-96656 需要管理员权限。Plex 表示，串联起来后两者都不需要。按单个 CVSS 评分排序的补丁队列会把它们放在接近末尾的位置，这就是为什么在这里 KEV 列入比评分数字更重要（参见如何决定先修复哪些 CVE）。

此外，修复在详细信息公布之前就已经存在了两个多月。自动更新的服务器早已受到保护。而那些应用商店更新滞后的 NAS 上的服务器，或者搭建后就一直放着不管的服务器，则没有。

发现该攻击链的研究人员写道，在发现和验证这些漏洞的过程中大量使用了大语言模型。在家用软件中找出由小漏洞组成的攻击链正变得越来越便宜，因此从修复到攻击之间的时间差可能会缩短。

信息来源

于2026年10月31日（日本时间）核实。

Plex，"Important Security Update for Plex Media Server v1.43.2 and earlier"（9月1日，10月19日 UTC 更新） — forums.plex.tv
Plex，Plex Media Server 版本发布公告 — forums.plex.tv
NVD，CVE-2026-96652 — nvd.nist.gov / CVE-2026-96654 — nvd.nist.gov / CVE-2026-96655 — nvd.nist.gov / CVE-2026-96656 — nvd.nist.gov
CISA，Plex Media Server 公告数据（VA-26-266-01） — github.com/cisagov
CISA，Known Exploited Vulnerabilities Catalog（2026年10月20日列入） — cisa.gov
安全研究人员对该攻击链的说明文章 Plex2Shell（2026年10月16日） — zmain.info
安全研究人员关于在野利用的报告（2026年10月17日） — boredhackerblog.info

更新记录

2026-10-31：首版，基于 Plex 的安全通知、NVD、CISA 的公告数据和 KEV 目录。

FAQ

QPlex2Shell 是什么？

这是一位安全研究人员为 Plex Media Server 中一组由四个漏洞组成的攻击链起的名称：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656。Plex 表示，将它们串联起来后，未经身份验证的远程攻击者可以以 Plex Media Server 进程的权限执行代码。

Q哪些版本受影响，哪些版本已修复？

低于 1.43.3.10861 的版本受影响。1.43.3.10861 于2026年8月4日向所有用户发布。截至10月31日，最新版本是 1.43.5.11079（10月26日）。您可以在 Plex Web 的“设置”→“常规”中查看版本。

Q它正在被利用吗？

是的。Plex 在10月19日（UTC）写道，这些漏洞正被积极且广泛地用于攻击未更新、面向互联网的服务器，被入侵的服务器被用来运行加密货币挖矿程序和代理软件。CISA 于10月20日将四个 CVE 全部加入其 KEV 目录。

Q我只在电视或手机上使用 Plex 应用。需要做什么吗？

这些 CVE 存在于 Plex Media Server 中，也就是托管您媒体库的软件。如果您观看的服务器由别人运行，那么需要由对方更新其服务器。Plex 在同一轮更新中还发布了包含安全修复的 Plex Desktop 1.115.0，并建议 Desktop 用户也进行更新。

Q我的 NAS 应用商店还没有提供新版本。该怎么办？

Plex 表示，NAS 的软件包管理器可能会滞后，您可以从 Plex 的下载页面下载适用于您设备的软件包，并通过 NAS 的手动安装选项进行安装。在能够更新之前，请在服务器设置中关闭“远程访问”，并删除路由器上转发 32400 端口的规则。

Q为什么一组中等严重程度的 CVE 会变成紧急情况？

每个 CVE 单独的评分为 4.3 至 7.2（CVSS v3.1），其中一些需要登录或管理员权限。Plex 表示，串联起来后就不需要登录了。按单个 CVSS 评分排序的团队会把它们排得很低。发现该攻击链的研究人员表示，他们在研究中大量使用了大语言模型。