La Agencia de Ciberseguridad y de Infraestructura de los Estados Unidos (CISA) ha emitido advertencias de seguridad estrictas sobre la explotación por parte de ciberatacantes de cuatro vulnerabilidades en los populares servidores multimedia Plex Media Server, en ataques conocidos colectivamente como Plex2Shell.
Detalles de las vulnerabilidades Plex2Shell y la cadena de ataque
El investigador de seguridad Zach Main descubrió estas vulnerabilidades y las notificó a Plex el 27 de julio, antes de publicar los detalles técnicos completos el 16 de octubre, seguidos de una prueba de concepto (PoC) tres días después. Cuando estas vulnerabilidades se encadenan, permiten a los atacantes obtener el token de administrador del propietario y ejecutar código con privilegios elevados. La cadena de explotación completa recibió una puntuación de gravedad crítica de 9.8, e incluye las siguientes vulnerabilidades individuales:
- CVE-2026-96652: Una vulnerabilidad de falsificación de solicitudes del lado del servidor (SSRF) en el punto final /player/timeline que permite a atacantes no autenticados obligar a Plex a enviar solicitudes POST a destinos arbitrarios, incluidas las interfaces de programación de aplicaciones (API) internas.
- CVE-2026-96654: Una vulnerabilidad de inyección de URL en searchOne que permite invocar funciones de otras extensiones con parámetros controlados por el atacante.
- CVE-2026-96655: Una vulnerabilidad SSRF autenticada en el punto final del transcodificador (transcoder) que permite solicitar direcciones internas o externas arbitrarias.
- CVE-2026-96656: Una vulnerabilidad de escritura de archivos arbitrarios en la configuración del transcodificador que permite a los administradores plantar bibliotecas compartidas maliciosas que el sistema carga posteriormente para ejecutar código.
Directivas gubernamentales y acciones inmediatas
La agencia CISA ha ordenado a las agencias federales estadounidenses priorizar la aplicación de parches en los sistemas afectados por las vulnerabilidades Plex2Shell o implementar medidas de mitigación a más tardar el 23 de octubre. Estas vulnerabilidades afectan a las versiones de Plex Media Server anteriores a la versión 1.43.3.10861, lanzada el 4 de agosto. Han surgido informes sobre la explotación de esta cadena en la naturaleza desde el 17 de octubre, apuntando inicialmente a plataformas de engaño (Honeypots) para desplegar software de minería de criptomonedas.
Otras vulnerabilidades en Siemens Software Center y SiteGuard
Además de las vulnerabilidades de Plex, CISA ha añadido al catálogo de vulnerabilidades explotadas conocidas (KEV) una vulnerabilidad de elemento de ruta de búsqueda no controlado, catalogada bajo el número CVE-2026-110936, que afecta al Siemens Software Center (SSC). El gigante tecnológico alemán advirtió el 19 de octubre que los atacantes estaban utilizando esta vulnerabilidad en campañas vinculadas a una plataforma de entrega de malware de múltiples cargas útiles llamada Romulus. La agencia también incluyó la vulnerabilidad de inyección de comandos del sistema operativo CVE-2026-106931 que afecta al firewall de aplicaciones web SiteGuard Server Edition, sobre la cual advirtieron las autoridades reguladoras japonesas tras detectar su explotación real.
¿Por qué es importante esta noticia?
Este desarrollo representa un peligro grave debido a la peligrosidad de la cadena de vulnerabilidades Plex2Shell, que otorga control administrativo total y ejecución de código en los servidores objetivo, en coincidencia con una explotación a gran escala de vulnerabilidades en software empresarial sensible como el de Siemens, lo que requiere la actualización inmediata de los sistemas para evitar brechas de seguridad a gran escala.