CISA waarschuwt dat aanvallers via een aanvalsketen die onderzoekers Plex2Shell noemen, vier kwetsbaarheden in Plex Media Server combineren om servers volledig over te nemen. De Amerikaanse cybersecurity-waakhond meldt dat de keten al actief wordt misbruikt.
De vier onderliggende lekken zijn op zichzelf van gemiddelde tot hoge ernst, maar vormen samen een kritieke keten met een score van 9,8. CVE-2026-96652 is een SSRF-fout in het eindpunt /player/timeline waarmee een ongeauthenticeerde aanvaller Plex POST-verzoeken laat versturen naar willekeurige bestemmingen, inclusief Plex’ eigen interne API’s. CVE-2026-96654 maakt URL-injectie mogelijk in de searchOne-functie, waardoor een aanvaller functies van andere plugins kan aanroepen met zelfgekozen parameters. CVE-2026-96655 is een tweede SSRF-fout, dit keer in het transcoder-eindpunt en met een geauthenticeerde gebruiker, waarmee Plex verzoeken naar willekeurige interne of externe adressen kan doen. CVE-2026-96656, de laatste schakel, is een arbitrary file write in de transcoder-instellingen: daarmee kan een aanvaller een kwaadaardige shared library plaatsen die Plex vervolgens laadt, wat leidt tot het uitvoeren van code. Door de vier stappen te combineren, kan een aanvaller het admin-token van de serverbeheerder buitmaken en code uitvoeren met verhoogde rechten.
CISA eist dat Amerikaanse federale instanties de kwetsbaarheden voor 23 oktober verhelpen of mitigeren, de gebruikelijke aanpak bij opname in de Known Exploited Vulnerabilities (KEV)-catalogus. Onderzoekers meldden de fouten op 27 juli bij Plex. Op 16 oktober verschenen technische details, drie dagen later gevolgd door werkende proof-of-concept-code. Al op 17 oktober dook actief misbruik op, aanvankelijk gericht op Plex-honeypots om daar een cryptominer op te installeren.
Plex heeft de keten verholpen in versie 1.43.3.10861. Beheerders die een Plex Media Server draaien, zeker eentje die vanaf internet bereikbaar is, doen er goed aan nu te updaten in plaats van te wachten op een rustig moment. Particuliere gebruikers met een Plex-server thuis lopen hetzelfde risico als de server via poort-forwarding vanaf internet bereikbaar is gemaakt; controleer dat in de instellingen en schakel externe toegang uit als die niet nodig is.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Draait u thuis of op kantoor een Plex Media Server die vanaf internet bereikbaar is, bijvoorbeeld via poort-forwarding? Update dan nu naar 1.43.3.10861 en schakel externe toegang uit als die niet nodig is.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.