2026-10-31
Plex2Shell：Plex Media Server 的四個 CVE 已遭實際利用（請更新至 1.43.3.10861 或更新版本）
Plex2Shell 是一位資安研究人員為 Plex Media Server 中四個漏洞取的名稱：CVE-2026-96652、CVE-2026-96654、CVE-2026-96655 與 CVE-2026-96656。Plex 表示，將它們串接起來後，未經身分驗證的遠端攻擊者可以用 Plex Media Server 程序的權限執行程式碼。四個漏洞均已在2026年8月4日向所有使用者發布的 1.43.3.10861 中修補。Plex 在10月19日（UTC）寫道，在10月16日出現公開的概念驗證程式碼之後，這些漏洞正遭到積極且廣泛的利用，遭入侵的伺服器被用來執行加密貨幣挖礦程式與代理軟體。CISA 於10月20日將四個漏洞全部加入已知遭利用漏洞（KEV）目錄，期限為10月23日與11月3日。每個 CVE 單獨的評分只有 4.3 至 7.2（CVSS v3.1）。本站的結論：如果您執行 Plex Media Server，請今天就確認其版本為 1.43.3.10861 或更新；除非需要遠端存取，否則不要直接暴露 32400 連接埠；如果舊版本曾可從網際網路存取，請依照 Plex 的入侵檢查步驟進行檢查，若有疑慮就重建。