2026-10-31
Plex2Shell：Plex Media Server 的四个 CVE 已在野外被利用（请更新到 1.43.3.10861 或更高版本）
Plex2Shell 是一位安全研究人员为 Plex Media Server 中四个漏洞起的名称：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 和 CVE-2026-96656。Plex 表示，将它们串联起来后，未经身份验证的远程攻击者可以以 Plex Media Server 进程的权限执行代码。四个漏洞均已在2026年8月4日向所有用户发布的 1.43.3.10861 中修复。Plex 在10月19日（UTC）写道，在10月16日出现公开的概念验证代码之后，这些漏洞正被积极且广泛地利用，被入侵的服务器被用来运行加密货币挖矿程序和代理软件。CISA 于10月20日将四个漏洞全部加入其已知被利用漏洞（KEV）目录，截止日期为10月23日和11月3日。每个 CVE 单独的评分只有 4.3 至 7.2（CVSS v3.1）。本站的结论：如果您运行 Plex Media Server，请今天就确认其版本为 1.43.3.10861 或更高；除非需要远程访问，否则不要直接暴露 32400 端口；如果旧版本曾可从互联网访问，请按照 Plex 的入侵检查步骤进行检查，如有疑问就重建。