L'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA) a émis des avertissements de sécurité stricts concernant l'exploitation par des cyberattaquants de quatre vulnérabilités dans les serveurs multimédias populaires Plex Media Server, dans le cadre d'attaques collectivement connues sous le nom de Plex2Shell.
Détails des vulnérabilités Plex2Shell et chaîne d'attaque
Le chercheur en sécurité Zach Main a découvert ces vulnérabilités et les a signalées à Plex le 27 juillet, avant de publier les détails techniques complets le 16 octobre, suivis d'un code d'exploitation (PoC) trois jours plus tard. Lorsqu'elles sont combinées, ces vulnérabilités permettent aux attaquants d'obtenir le jeton d'administrateur du propriétaire et d'exécuter du code avec des privilèges élevés. La chaîne d'exploitation complète a reçu un score de criticité de 9,8, et les vulnérabilités individuelles incluent :
- CVE-2026-96652 : Une vulnérabilité de falsification de requête côté serveur (SSRF) dans le point de terminaison /player/timeline permettant à des attaquants non authentifiés de pousser Plex à envoyer des requêtes POST vers des destinations arbitraires, y compris des interfaces de programmation d'applications (API) internes.
- CVE-2026-96654 : Une vulnérabilité d'injection d'URL dans searchOne permettant d'appeler d'autres fonctions d'extension avec des paramètres contrôlés par l'attaquant.
- CVE-2026-96655 : Une vulnérabilité SSRF authentifiée dans le point de terminaison du transcodeur permettant de demander des adresses internes ou externes arbitraires.
- CVE-2026-96656 : Une vulnérabilité d'écriture de fichier arbitraire dans les paramètres du transcodeur permettant aux administrateurs d'implanter des bibliothèques partagées malveillantes chargées ultérieurement par le système pour exécuter du code.
Directives gouvernementales et mesures immédiates
La CISA a ordonné aux agences fédérales américaines de donner la priorité à la correction des systèmes affectés par les vulnérabilités Plex2Shell ou d'appliquer des mesures d'atténuation au plus tard le 23 octobre. Ces vulnérabilités affectent les versions de Plex Media Server antérieures à la version 1.43.3.10861 publiée le 4 août. Des rapports font état de l'exploitation de cette chaîne dans la nature depuis le 17 octobre, ciblant initialement des plateformes de leurre (Honeypots) pour déployer des logiciels de minage de cryptomonnaies.
Autres vulnérabilités dans le centre logiciel Siemens et SiteGuard
En plus des failles de Plex, la CISA a ajouté au catalogue des vulnérabilités exploitées connues (KEV) la vulnérabilité d'élément de chemin de recherche non contrôlé, répertoriée sous le numéro CVE-2026-110936, qui affecte le centre logiciel Siemens (SSC). Le géant technologique allemand avait averti le 19 octobre que des attaquants utilisaient cette faille dans le cadre de campagnes liées à une plateforme de distribution de logiciels malveillants multi-charges appelée Romulus. L'agence a également répertorié la vulnérabilité d'injection de commandes du système d'exploitation CVE-2026-106931 qui affecte le pare-feu d'applications Web SiteGuard Server Edition, sur laquelle les autorités japonaises avaient mis en garde après avoir constaté son exploitation réelle.
Pourquoi cette nouvelle est-elle importante ?
Cette évolution représente un danger extrême en raison de la gravité de la chaîne de vulnérabilités Plex2Shell qui accorde un contrôle administratif complet et l'exécution de codes sur les serveurs ciblés, parallèlement à une exploitation à grande échelle de failles dans des logiciels d'entreprise sensibles tels que Siemens, ce qui nécessite une mise à jour immédiate des systèmes pour éviter des intrusions à grande échelle.