米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Plex Media Serverの4つの脆弱性がサイバー攻撃者に悪用されているとして、厳重なセキュリティ警告を発しました。これらの脆弱性は総称して「Plex2Shell」と呼ばれています。
Plex2Shellの脆弱性と攻撃チェーンの詳細
セキュリティ研究者のザック・メイン（Zach Main）氏がこれらの脆弱性を発見し、7月27日にPlex社へ報告しました。その後、10月16日に技術的な詳細が公開され、3日後には概念実証（PoC）コードが公開されました。これらの脆弱性が組み合わさることで、攻撃者は所有者の管理者トークンを取得し、高い権限でコードを実行することが可能になります。この攻撃チェーン全体の深刻度は9.8と評価されており、個別の脆弱性は以下の通りです。
- CVE-2026-96652: /player/timelineエンドポイントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性。認証されていない攻撃者がPlexを操作し、内部APIを含む任意の宛先にPOSTリクエストを送信させることが可能です。
- CVE-2026-96654: searchOneにおけるURLインジェクションの脆弱性。攻撃者が制御するパラメータを使用して、他のプラグイン機能を呼び出すことができます。
- CVE-2026-96655: トランスコーダー（transcoder）エンドポイントにおける認証済みSSRFの脆弱性。任意の内部または外部アドレスへのリクエストを可能にします。
- CVE-2026-96656: トランスコーダー設定における任意のファイル書き込みの脆弱性。管理者が悪意のある共有ライブラリを配置し、後にシステムによって読み込まれ、コード実行につながる可能性があります。
政府の指示と即時の対応
CISAは米連邦政府機関に対し、Plex2Shellの脆弱性の影響を受けるシステムへのパッチ適用、または緩和策の実施を10月23日までに完了するよう指示しました。これらの脆弱性は、8月4日にリリースされたPlex Media Serverバージョン1.43.3.10861より前のバージョンに影響します。10月17日以降、この攻撃チェーンが悪用されているとの報告が出ており、当初はハニーポットを標的として暗号資産マイニングソフトウェアを拡散させる動きが見られました。
シーメンスおよびSiteGuardのソフトウェアにおけるその他の脆弱性
Plexの脆弱性に加え、CISAは「悪用が確認された脆弱性カタログ（KEV）」に、シーメンス・ソフトウェア・センター（SSC）に影響を与える制御不能な検索パス要素の脆弱性（CVE-2026-110936）を追加しました。ドイツの技術大手である同社は10月19日、攻撃者がこの脆弱性を「Romulus」と呼ばれるマルチペイロードのマルウェア配信プラットフォームに関連するキャンペーンで使用していると警告していました。また、同庁はWebアプリケーションファイアウォール「SiteGuard Server Edition」に影響を与えるOSコマンドインジェクションの脆弱性（CVE-2026-106931）もリストに追加しました。これは、実際の悪用が確認されたことを受け、日本の規制当局などが警告を発していたものです。
このニュースが重要な理由
今回の事態は、標的となったサーバーの完全な管理者権限とコード実行を可能にするPlex2Shell攻撃チェーンの深刻さ、およびシーメンスのような重要な企業向けソフトウェアにおける広範な悪用が重なっていることから、極めて危険な状況です。大規模な侵害を回避するため、直ちにシステムを更新する必要があります。