Die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) hat strenge Sicherheitswarnungen bezüglich der Ausnutzung von vier Sicherheitslücken in den populären Plex Media Servern durch Cyberangreifer herausgegeben, die zusammen als Plex2Shell bekannt sind.
Details zu den Plex2Shell-Schwachstellen und der Angriffskette
Der Sicherheitsforscher Zach Main entdeckte diese Schwachstellen und meldete sie am 27. Juli an Plex, bevor er am 16. Oktober die vollständigen technischen Details und drei Tage später einen Exploit-Code (PoC) veröffentlichte. Wenn diese Schwachstellen miteinander kombiniert werden, ermöglichen sie es Angreifern, das Administratortoken des Eigentümers zu erlangen und Code mit erhöhten Berechtigungen auszuführen. Die gesamte Exploit-Kette erhielt einen kritischen Schweregrad von 9,8 und umfasst die folgenden Einzelschwachstellen:
- CVE-2026-96652: Eine Server-Side Request Forgery (SSRF)-Schwachstelle im Endpunkt /player/timeline, die es nicht authentifizierten Angreifern ermöglicht, Plex dazu zu bringen, POST-Anfragen an beliebige Ziele zu senden, einschließlich interner APIs.
- CVE-2026-96654: Eine URL-Injection-Schwachstelle in searchOne, die den Aufruf anderer Plugin-Funktionen mit vom Angreifer kontrollierten Parametern ermöglicht.
- CVE-2026-96655: Eine authentifizierte SSRF-Schwachstelle im Transcoder-Endpunkt, die das Anfordern beliebiger interner oder externer Adressen ermöglicht.
- CVE-2026-96656: Eine Schwachstelle zum Schreiben beliebiger Dateien in den Transcoder-Einstellungen, die es Administratoren ermöglicht, bösartige gemeinsam genutzte Bibliotheken einzuschleusen, die später vom System zur Codeausführung geladen werden.
Regierungsanweisungen und sofortige Maßnahmen
Die CISA hat die US-Bundesbehörden angewiesen, die Patching-Priorität für Systeme, die von Plex2Shell-Schwachstellen betroffen sind, zu erhöhen oder bis spätestens 23. Oktober Minderungsmaßnahmen anzuwenden. Diese Schwachstellen betreffen Plex Media Server-Versionen vor der am 4. August veröffentlichten Version 1.43.3.10861. Es liegen Berichte über die Ausnutzung dieser Kette in freier Wildbahn seit dem 17. Oktober vor, die zunächst auf Honeypots abzielte, um Kryptomining-Software zu verbreiten.
Weitere Schwachstellen im Siemens Software Center und SiteGuard
Neben den Plex-Schwachstellen hat die CISA eine Schwachstelle bezüglich eines unkontrollierten Suchpfad-Elements mit der Kennung CVE-2026-110936, die das Siemens Software Center (SSC) betrifft, in ihren Katalog der bekannten ausgenutzten Schwachstellen (KEV) aufgenommen. Der deutsche Technologiekonzern hatte bereits am 19. Oktober davor gewarnt, dass Angreifer diese Schwachstelle im Rahmen von Kampagnen nutzen, die mit einer Plattform für die Bereitstellung von Malware mit mehreren Payloads namens Romulus in Verbindung stehen. Zudem listete die Behörde die Betriebssystem-Befehlsinjektionsschwachstelle CVE-2026-106931 auf, die die Web Application Firewall SiteGuard Server Edition betrifft, vor der japanische Regulierungsbehörden nach der Beobachtung ihrer tatsächlichen Ausnutzung gewarnt hatten.
Warum ist diese Nachricht wichtig?
Diese Entwicklung stellt aufgrund der Schwere der Plex2Shell-Schwachstellenkette, die eine vollständige administrative Kontrolle und Codeausführung auf den Zielservern ermöglicht, ein erhebliches Risiko dar. Dies geschieht zeitgleich mit einer weit verbreiteten Ausnutzung von Schwachstellen in sensibler Unternehmenssoftware wie der von Siemens, was eine sofortige Aktualisierung der Systeme erforderlich macht, um großflächige Angriffe zu verhindern.