資安指南

#漏洞 #Plex2Shell #Plex Media Server #CVE-2026-96652 #CVE-2026-96654 #CVE-2026-96655 #CVE-2026-96656 #NAS #遠端程式碼執行 #暴露的服務 #AI 安全

Plex2Shell：Plex Media Server 的四個 CVE 已遭實際利用（請更新至 1.43.3.10861 或更新版本）

低於 1.43.3.10861 的 Plex Media Server 有可串接的四個 CVE（Plex2Shell），10月20日起列入 CISA KEV。Plex 表示攻擊廣泛。版本確認、更新與檢查。

發布於 2026-10-31 更新於 2026-10-31 最後核實 2026-10-31 閱讀時間 4 分鐘

本頁內容

適用對象：在 PC、NAS、家用伺服器、雲端伺服器或 Docker 中執行 Plex Media Server 的所有人，特別是伺服器可從網際網路存取的情況。本文根據 Plex 自己的安全通知、NVD、CISA 的公告資料與 KEV 目錄撰寫，不包含攻擊步驟或利用程式碼。

進行中：隨著更多資訊公布，本頁將持續更新

適用對象: 在 PC、NAS、家用伺服器、雲端伺服器或 Docker 中執行 Plex Media Server 的所有人，特別是伺服器可從網際網路存取的情況。
已確認的影響範圍查看表格 ↓: 受影響版本與修補版本
串接後無需登入
針對過時伺服器的攻擊
另外2項
遭入侵的伺服器被用於什麼
CISA KEV
尚未確認的事項: 有多少台伺服器已遭入侵
攻擊者除了安裝挖礦程式與代理軟體之外是否還做了其他事
各 NAS 廠商的應用程式商店是否都已提供修補版本
現在要做的事查看步驟 ↓: 檢查伺服器版本
更新至 1.43.3.10861 或更新版本
減少暴露
另外2項
如果舊版本曾可從網際網路存取，請檢查是否遭入侵
將伺服器能存取的內容視為已暴露
查證來源（出處）全部來源 ↓: Plex，"Important Security Update for Plex Media Server v1.43.2 and earlier"（9月1日，10月19日 UTC 更新）
最後查證: 截至2026年10月31日（日本時間）

續報計畫與查證紀錄

Plex 的通知、修補版本與 KEV 條目均已公開。我們在10月31日核對了 Plex 的論壇貼文、NVD、CISA 的公告資料以及 KEV 資料來源（版本 2026.10.30）。

今天要做的事

檢查伺服器版本

開啟 Plex Web，進入「設定」→「一般」，查看顯示的版本。Plex 表示 1.43.3.10861 及更新版本不受影響。請檢查您執行的每一台伺服器，包括 NAS 或備用 PC 上的舊伺服器。

更新至 1.43.3.10861 或更新版本

在 Windows 與 macOS 上，請確認自動更新確實已安裝新版本，或從 Plex 的下載頁面下載。在 Linux 上，請安裝新的 .deb 或 .rpm 套件。若使用 Docker，請依照 Plex 的 Docker 儲存庫中的說明拉取目前的映像檔。在 NAS 上，Plex 表示廠商的應用程式商店可能會延遲；請從 Plex 下載適用於您裝置的套件，並使用 NAS 的手動安裝選項。

減少暴露

Plex 建議，如果不需要「遠端存取」（「設定」→「遠端存取」），就將其關閉；除非確有需要，否則避免直接轉送 32400 連接埠。請檢查路由器上是否有指向該伺服器的連接埠轉送或 UPnP 規則。

如果舊版本曾可從網際網路存取，請檢查是否遭入侵

Plex 表示，應假設這樣的伺服器可能已遭入侵。其檢查要點概述如下：由 Plex Media Server 啟動、您不認得的程序，Plex Codecs 資料夾中陌生的檔案，非預期的對外連線，以及在沒有播放任何內容時 CPU 持續高負載。

如果發現上述任何情況，或無法排除遭入侵的可能，Plex 建議從全新安裝重建伺服器，而不是沿用舊的 Plex 資料資料夾。至少要刪除 Codecs 資料夾中的所有內容，並檢查 Preferences.xml 中是否有您未設定的轉碼器選項。接著在 Plex 帳戶設定中登出所有裝置，並變更 Plex 密碼。

將伺服器能存取的內容視為已暴露

Plex 表示，應將 Plex 服務帳戶能存取的一切都視為可能已暴露，例如掛載的共用資料夾，以及儲存在同一台機器或虛擬機器上的憑證。請變更儲存在那裡的密碼，並檢查同一網路中的其他裝置。

已揭露的內容

Plex Media Server：四個可串接的漏洞（Plex2Shell）

產品: Plex Media Server，一款將您自己的影片、音樂與照片庫提供給 Plex 應用程式的軟體
CVE: CVE-2026-96652（伺服器端請求偽造，SSRF）、CVE-2026-96654（URL 值未經無害化處理）、CVE-2026-96655（SSRF；Plex 將其描述為擁有者管理權杖的洩漏）、CVE-2026-96656（管理員使用者可寫入任意檔案）
串接後的影響: 串接後，無需身分驗證即可用 Plex Media Server 程序的權限執行程式碼（Plex）
嚴重程度: 單一 CVSS v3.1 為 4.3 至 7.2（評分來自作為 CVE 編號機構的 CISA）。研究人員將整條攻擊鏈評為 9.8，但這不是官方評分
受影響: 低於 1.43.3.10861 的版本
已修補: 1.43.3.10861（2026年8月4日向所有使用者發布）。10月31日的最新版本：1.43.5.11079
遭利用情形: 針對未更新、面向網際網路的伺服器「遭到積極且廣泛的利用」（Plex，10月19日 UTC）
KEV: 10月20日列入。期限為10月23日（CVE-2026-96654、-96656）與11月3日（CVE-2026-96652、-96655）。CVE-2026-96656 也被標示為適用 CISA 的鑑識分級要求

CISA 針對同一版本的公告資料還列出了第五個漏洞 CVE-2026-96651（路徑穿越，持有有效工作階段權杖即可讀取檔案）。它在同一版本中已修補，不在 KEV 目錄中。

攻擊鏈中的 CVE，全部列入 CISA KEV

4.3-7.2

單一 CVSS v3.1 評分

1.43.3.10861

首個修補版本（8月4日）

11月3日

四個漏洞中最晚的 KEV 期限

1. 檢查版本

設定→一般：是否為 1.43.3.10861 或更新？

2. 更新並關閉連接埠

更新；不用時關閉遠端存取

3. 檢查曾暴露的伺服器

依 Plex 的檢查要點；有疑慮就重建

今天的工作順序

時間軸

2026年8月3日至4日
Plex Media Server 1.43.3.10861 先發布至 beta 頻道（8月3日），接著向所有使用者發布（8月4日）。
9月1日
Plex 發布安全通知，要求所有伺服器擁有者更新至 1.43.3 或更新版本，並表示已申請 CVE。
9月23日
CVE 紀錄公布，修補版本為 1.43.3.10861。
10月16日
發現該攻擊鏈的資安研究人員以 Plex2Shell 為名公布詳細資訊，公開的概念驗證程式碼出現（Plex）。
10月17日
一位資安研究人員回報，觀察到該攻擊鏈被用於攻擊誘捕系統（honeypot）並安裝加密貨幣挖礦程式。
10月19日（UTC）
Plex 更新其通知，補上 CVE 清單，並表示這些漏洞正遭到積極且廣泛的利用。
10月20日
CISA 將四個 CVE 全部加入 KEV 目錄。
10月26日
Plex Media Server 1.43.5.11079 向所有使用者發布。

已知與未知的資訊

項目	來源的說法	狀態
受影響版本與修補版本	低於 1.43.3.10861；在 1.43.3.10861 中修補	已確認
串接後無需登入	Plex 表示	已確認
針對過時伺服器的攻擊	遭到積極且廣泛的利用（Plex）	已確認被濫用（Plex）
遭入侵的伺服器被用於什麼	加密貨幣挖礦程式與代理軟體（Plex）	已確認被濫用（Plex）
遭入侵伺服器的數量	未公布	未說明
伺服器上的資料或帳戶憑證是否遭竊	未公布	未說明
CISA KEV	四個漏洞均於10月20日列入	已確認

為什麼評分掩蓋了風險

四個 CVE 中沒有一個的單獨評分超過 7.2。根據其 CVSS 向量，其中三個需要登入：CVE-2026-96652 與 CVE-2026-96655 需要低權限帳戶，CVE-2026-96656 需要管理員權限。Plex 表示，串接起來後兩者都不需要。依單一 CVSS 評分排序的修補佇列會把它們放在接近末尾的位置，這就是為什麼在這裡 KEV 列入比評分數字更重要（參見如何決定先修補哪些 CVE）。

此外，修補在詳細資訊公布之前就已存在了兩個多月。自動更新的伺服器早已受到保護。而應用程式商店更新延遲的 NAS 上的伺服器，或架設後就一直放著不管的伺服器，則沒有。

發現該攻擊鏈的研究人員寫道，在發現與驗證這些漏洞的過程中大量使用了大型語言模型。在家用軟體中找出由小漏洞組成的攻擊鏈正變得越來越便宜，因此從修補到攻擊之間的時間差可能會縮短。

資料來源

於2026年10月31日（日本時間）查證。

Plex，"Important Security Update for Plex Media Server v1.43.2 and earlier"（9月1日，10月19日 UTC 更新） — forums.plex.tv
Plex，Plex Media Server 版本發布公告 — forums.plex.tv
NVD，CVE-2026-96652 — nvd.nist.gov / CVE-2026-96654 — nvd.nist.gov / CVE-2026-96655 — nvd.nist.gov / CVE-2026-96656 — nvd.nist.gov
CISA，Plex Media Server 公告資料（VA-26-266-01） — github.com/cisagov
CISA，Known Exploited Vulnerabilities Catalog（2026年10月20日列入） — cisa.gov
資安研究人員對該攻擊鏈的說明文章 Plex2Shell（2026年10月16日） — zmain.info
資安研究人員關於實際遭利用的回報（2026年10月17日） — boredhackerblog.info

更新紀錄

2026-10-31：首版，根據 Plex 的安全通知、NVD、CISA 的公告資料與 KEV 目錄。

FAQ

QPlex2Shell 是什麼？

這是一位資安研究人員為 Plex Media Server 中一組由四個漏洞組成的攻擊鏈取的名稱：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 與 CVE-2026-96656。Plex 表示，將它們串接起來後，未經身分驗證的遠端攻擊者可以用 Plex Media Server 程序的權限執行程式碼。

Q哪些版本受影響，哪些版本已修補？

低於 1.43.3.10861 的版本受影響。1.43.3.10861 於2026年8月4日向所有使用者發布。截至10月31日，最新版本是 1.43.5.11079（10月26日）。您可以在 Plex Web 的「設定」→「一般」中查看版本。

Q它正在遭利用嗎？

是的。Plex 在10月19日（UTC）寫道，這些漏洞正遭到積極且廣泛的利用，對象是未更新、面向網際網路的伺服器，遭入侵的伺服器被用來執行加密貨幣挖礦程式與代理軟體。CISA 於10月20日將四個 CVE 全部加入 KEV 目錄。

Q我只在電視或手機上使用 Plex 應用程式。需要做什麼嗎？

這些 CVE 存在於 Plex Media Server，也就是託管您媒體庫的軟體。如果您觀看的伺服器由別人執行，就需要由對方更新其伺服器。Plex 在同一輪更新中也發布了包含安全修補的 Plex Desktop 1.115.0，並建議 Desktop 使用者一併更新。

Q我的 NAS 應用程式商店還沒有提供新版本。該怎麼辦？

Plex 表示，NAS 的套件管理員可能會延遲，您可以從 Plex 的下載頁面下載適用於您裝置的套件，並透過 NAS 的手動安裝選項進行安裝。在能夠更新之前，請在伺服器設定中關閉「遠端存取」，並刪除路由器上轉送 32400 連接埠的規則。

Q為什麼一組中等嚴重程度的 CVE 會變成緊急狀況？

每個 CVE 單獨的評分為 4.3 至 7.2（CVSS v3.1），其中一些需要登入或管理員權限。Plex 表示，串接起來後就不需要登入。依單一 CVSS 評分排序的團隊會把它們排得很低。發現該攻擊鏈的研究人員表示，他們在研究中大量使用了大型語言模型。