ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), siber saldırganların popüler medya sunucusu Plex Media Server'daki dört güvenlik açığını, toplu olarak Plex2Shell olarak bilinen saldırılarda kullandıklarına dair sıkı güvenlik uyarıları yayınladı.
Plex2Shell güvenlik açıkları ve saldırı zincirinin detayları
Güvenlik araştırmacısı Zach Main, bu açıkları keşfederek 27 Temmuz'da Plex şirketine bildirdi. Ardından 16 Ekim'de teknik detayları, üç gün sonra ise bir istismar aracını (PoC) yayınladı. Bu açıklar bir araya geldiğinde, saldırganların sahibinin yönetici simgesini ele geçirmesine ve yüksek ayrıcalıklarla kod yürütmesine olanak tanıyor. Tam istismar zinciri 9.8'lik kritik bir ciddiyet puanı aldı ve bireysel açıklar şunları içeriyor:
- CVE-2026-96652: /player/timeline uç noktasındaki Sunucu Tarafı İstek Sahteciliği (SSRF) açığı, kimliği doğrulanmamış saldırganların Plex'i, dahili API'ler dahil olmak üzere rastgele hedeflere POST istekleri göndermeye zorlamasına olanak tanır.
- CVE-2026-96654: searchOne'daki URL enjeksiyon açığı, diğer eklenti işlevlerinin saldırgan tarafından kontrol edilen parametrelerle çağrılmasına izin verir.
- CVE-2026-96655: Dönüştürücü (transcoder) uç noktasındaki kimliği doğrulanmış SSRF açığı, rastgele dahili veya harici adreslerin talep edilmesine olanak tanır.
- CVE-2026-96656: Dönüştürücü ayarlarındaki rastgele dosya yazma açığı, yöneticilerin daha sonra sistem tarafından kod yürütmek için yüklenecek kötü amaçlı paylaşılan kütüphaneler yerleştirmesini sağlar.
Hükümet direktifleri ve acil eylemler
CISA, ABD federal kurumlarına Plex2Shell açıklarından etkilenen sistemleri yamalamaları veya 23 Ekim tarihine kadar azaltma önlemleri uygulamaları talimatını verdi. Bu açıklar, 4 Ağustos'ta yayınlanan 1.43.3.10861 sürümünden önceki Plex Media Server sürümlerini etkiliyor. Bu zincirin 17 Ekim'den bu yana vahşi ortamda kullanıldığına dair raporlar ortaya çıktı ve başlangıçta kripto para madenciliği yazılımlarını yaymak için tuzak platformlarını (Honeypots) hedef aldı.
Siemens ve SiteGuard yazılım merkezindeki diğer açıklar
Plex açıklarının yanı sıra CISA, Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna, Siemens Yazılım Merkezi'ni (SSC) etkileyen ve CVE-2026-110936 numarasıyla izlenen kontrolsüz arama yolu öğesi açığını ekledi. Alman teknoloji devi, 19 Ekim'de saldırganların bu açığı Romulus adlı çoklu yüke sahip kötü amaçlı yazılım dağıtım platformuyla bağlantılı kampanyalarda kullandığı konusunda uyarıda bulunmuştu. Ajans ayrıca, SiteGuard Server Edition web uygulaması güvenlik duvarını etkileyen ve fiili istismarın gözlemlenmesinin ardından Japon düzenleyicilerin ve yetkililerin uyardığı CVE-2026-106931 işletim sistemi komut enjeksiyon açığını da listeledi.
Bu haber neden önemli?
Bu gelişme, hedef sunucular üzerinde tam yönetici kontrolü ve kod yürütme imkanı sağlayan Plex2Shell güvenlik açığı zincirinin ciddiyeti ve Siemens gibi hassas kurumsal yazılımlardaki açıkların geniş çaplı kullanımı nedeniyle büyük bir risk oluşturuyor. Bu durum, geniş çaplı ihlalleri önlemek için sistemlerin derhal güncellenmesini zorunlu kılıyor.