미국 사이버보안 및 인프라 보안국(CISA)은 사이버 공격자들이 Plex 미디어 서버의 4가지 취약점을 악용하고 있으며, 이를 통칭하여 Plex2Shell이라고 부르는 공격에 대해 강력한 보안 경고를 발령했습니다.
Plex2Shell 취약점 및 공격 체인 세부 정보
보안 연구원 잭 메인(Zach Main)은 7월 27일 Plex 측에 이 취약점들을 보고했으며, 10월 16일 전체 기술 세부 정보를 공개한 후 3일 뒤 개념 증명(PoC) 도구를 발표했습니다. 이 취약점들이 결합되면 공격자는 소유자의 관리자 토큰을 획득하고 높은 권한으로 코드를 실행할 수 있습니다. 전체 공격 체인은 9.8점의 치명적인 위험 등급을 받았으며, 개별 취약점은 다음과 같습니다.
- CVE-2026-96652: /player/timeline 엔드포인트의 서버 측 요청 위조(SSRF) 취약점으로, 인증되지 않은 공격자가 Plex를 조종하여 내부 API를 포함한 임의의 대상으로 POST 요청을 보내도록 할 수 있습니다.
- CVE-2026-96654: searchOne의 URL 주입 취약점으로, 공격자가 제어하는 매개변수를 사용하여 다른 확장 기능의 기능을 호출할 수 있습니다.
- CVE-2026-96655: 트랜스코더(transcoder) 엔드포인트의 인증된 SSRF 취약점으로, 임의의 내부 또는 외부 주소를 요청할 수 있습니다.
- CVE-2026-96656: 트랜스코더 설정의 임의 파일 쓰기 취약점으로, 관리자가 악성 공유 라이브러리를 심어 시스템이 나중에 이를 로드하여 코드를 실행하도록 할 수 있습니다.
정부 지침 및 즉각적인 조치
CISA는 미국 연방 기관들에 10월 23일까지 Plex2Shell 취약점의 영향을 받는 시스템에 패치를 적용하거나 완화 조치를 취할 것을 지시했습니다. 이 취약점들은 8월 4일에 출시된 1.43.3.10861 이전 버전의 Plex 미디어 서버에 영향을 미칩니다. 10월 17일부터 야생에서 이 체인이 악용되고 있다는 보고가 있었으며, 초기에는 암호화폐 채굴 소프트웨어를 배포하기 위해 허니팟(Honeypots) 플랫폼을 표적으로 삼았습니다.
지멘스 및 사이트가드 소프트웨어 센터의 기타 취약점
Plex 취약점 외에도 CISA는 알려진 악용 취약점 목록(KEV)에 지멘스 소프트웨어 센터(SSC)에 영향을 미치는 제어되지 않은 검색 경로 요소 취약점(CVE-2026-110936)을 추가했습니다. 독일의 이 기술 대기업은 10월 19일, 공격자들이 Romulus라는 다중 페이로드 악성 소프트웨어 배포 플랫폼과 관련된 캠페인에서 이 취약점을 사용하고 있다고 경고했습니다. 또한, CISA는 웹 애플리케이션 방화벽인 사이트가드 서버 에디션(SiteGuard Server Edition)에 영향을 미치는 운영체제 명령 주입 취약점(CVE-2026-106931)을 목록에 추가했으며, 이는 일본 규제 당국이 실제 악용 사례를 확인한 후 경고한 바 있습니다.
이 뉴스가 중요한 이유
이번 사태는 표적 서버에 대한 완전한 관리자 제어권과 코드 실행을 허용하는 Plex2Shell 취약점 체인의 위험성 때문에 매우 심각합니다. 동시에 지멘스와 같은 민감한 기업용 소프트웨어의 취약점이 광범위하게 악용되고 있어, 대규모 침해를 방지하기 위해 즉각적인 시스템 업데이트가 필수적입니다.