Агентство по кибербезопасности и защите инфраструктуры США (CISA) выпустило строгие предупреждения безопасности в связи с тем, что киберпреступники эксплуатируют четыре уязвимости в популярном медиасервере Plex Media Server в рамках атак, известных под общим названием Plex2Shell.
Детали уязвимостей Plex2Shell и цепочки атак
Исследователь безопасности Зак Майн (Zach Main) обнаружил эти уязвимости и сообщил о них компании Plex 27 июля, после чего 16 октября опубликовал полные технические детали, а тремя днями позже — эксплойт (PoC). При объединении эти уязвимости позволяют злоумышленникам получить токен администратора владельца и выполнить произвольный код с повышенными привилегиями. Вся цепочка эксплуатации получила критическую оценку опасности 9.8 и включает следующие отдельные уязвимости:
- CVE-2026-96652: уязвимость подделки запросов на стороне сервера (SSRF) в конечной точке /player/timeline, которая позволяет неавторизованным злоумышленникам заставить Plex отправлять POST-запросы на произвольные адреса, включая внутренние API.
- CVE-2026-96652: уязвимость инъекции URL в searchOne, позволяющая вызывать функции других плагинов с параметрами, контролируемыми злоумышленником.
- CVE-2026-96655: аутентифицированная уязвимость SSRF в конечной точке транскодера (transcoder), позволяющая запрашивать произвольные внутренние или внешние адреса.
- CVE-2026-96656: уязвимость записи произвольных файлов в настройках транскодера, позволяющая злоумышленникам внедрять вредоносные общие библиотеки, которые система загружает позже для выполнения кода.
Правительственные указания и оперативные меры
Агентство CISA предписало федеральным ведомствам США в приоритетном порядке устранить уязвимости в уязвимых системах Plex2Shell или применить меры по их минимизации не позднее 23 октября. Эти уязвимости затрагивают версии Plex Media Server, предшествующие версии 1.43.3.10861, выпущенной 4 августа. Появились сообщения об эксплуатации этой цепочки в реальных условиях с 17 октября, причем изначально она была нацелена на фальшивые платформы (honeypots) для распространения вредоносного ПО для майнинга криптовалют.
Другие уязвимости в Siemens Software Center и SiteGuard
Помимо уязвимостей Plex, CISA добавила в свой каталог известных эксплуатируемых уязвимостей (KEV) уязвимость неконтролируемого пути поиска элемента под индексом CVE-2026-110936, которая затрагивает Siemens Software Center (SSC). Немецкий технологический гигант предупреждал 19 октября, что злоумышленники используют эту уязвимость в рамках кампаний, связанных с многозадачной платформой доставки вредоносного ПО Romulus. Агентство также включило в список уязвимость внедрения команд операционной системы CVE-2026-106931, затрагивающую брандмауэр веб-приложений SiteGuard Server Edition, о которой предупреждали японские регуляторы после фиксации ее реальной эксплуатации.
Почему эта новость важна?
Это развитие событий представляет собой серьезную угрозу из-за опасности цепочки уязвимостей Plex2Shell, которая предоставляет полный административный контроль и возможность выполнения кода на целевых серверах, в сочетании с широкой эксплуатацией брешей в чувствительном корпоративном программном обеспечении, таком как Siemens, что требует немедленного обновления систем во избежание масштабных взломов.