Aktualizované: Chyby Plex2Shell: CISA zaradila aktívne zneužívaný reťazec do KEV
CISA do katalógu KEV doplnila všetky štyri chyby v reťazci Plex2Shell. Plex uvádza aktívne hromadné zneužívanie neaktualizovaných serverov dostupných z internetu.
Chyby Plex2Shell sú už v katalógu CISA Known Exploited Vulnerabilities (KEV) zastúpené v plnom rozsahu. Agentúra vo verzii katalógu z 20. októbra 2026 zaradila všetky štyri zraniteľnosti Plex Media Server, ktoré možno spojiť do reťazca vedúceho k vzdialenému spusteniu kódu bez prihlásenia.
Ide o CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 a CVE-2026-96656. Predchádzajúci zápis sa týkal CVE-2026-96655, no CISA teraz potvrdila zaradenie celej štvorice. Plex uviedol, že kombinácia chýb je aktívne a vo veľkom zneužívaná proti neaktualizovaným serverom dostupným z internetu.
Chyby Plex2Shell tvoria reťazec pre neautentifikované RCE
Podľa Plexu môže reťazenie štyroch nedostatkov umožniť neautentifikované vzdialené spustenie kódu na dotknutom serveri. Z verejne dostupných podkladov však nevyplýva, že útočníci samostatne zneužívajú každú zo štyroch chýb. Potvrdené je zneužívanie ich kombinácie.
Plex uvádza, že verzie Plex Media Server 1.43.3.10861 a novšie nie sú dotknuté. Správcovia serverov, ktoré túto verziu nemajú, by mali aktualizáciu považovať za prioritu. Relevantná je najmä pri inštanciách prístupných z internetu.
Pri preverovaní prostredia má zmysel skontrolovať aj možnú kompromitáciu servera a zhodnotiť, či je jeho verejná dostupnosť naozaj potrebná. Celkový počet napadnutých Plex serverov ani identita útočníkov verejne spoľahlivo potvrdené nie sú.
Do KEV pribudli aj chyby Siemens a SiteGuard
Rovnaká aktualizácia katalógu KEV obsahuje ďalšie dve zraniteľnosti: CVE-2026-110936 v Siemens Software Center a CVE-2026-106931 v EG Secure Solutions SiteGuard Server Edition.
Chyba v Siemens Software Center umožňuje DLL sideloading, pričom podľa Siemensu vyžaduje lokálny autentifikovaný útok. Výrobca odporúča aktualizovať produkt na verziu 4.0.9.8 alebo novšiu.
Pri SiteGuard Server Edition CISA eviduje CVE-2026-106931 ako známu zneužívanú zraniteľnosť. Verejne však nie sú potvrdené bližšie podrobnosti o útokoch ani rozsah prípadnej kompromitácie.
Termíny nápravy podľa CISA
CISA stanovila pre federálne úrady termín 23. októbra 2026 na nápravu chýb CVE-2026-96654, CVE-2026-96656 a CVE-2026-106931. Pre CVE-2026-96652, CVE-2026-96655 a CVE-2026-110936 platí termín 3. novembra 2026.
Pre správcov Plexu je hlavnou zmenou to, že KEV už pokrýva celý reťazec Plex2Shell, nielen jednu jeho súčasť. Najbližší vývoj môže priniesť indikátory kompromitácie, atribúciu útokov alebo ďalšie technické podrobnosti od CISA, Plexu a bezpečnostných firiem.
Zdroje
- CISA KEV data – Oficiálne údaje CISA potvrdzujú pridanie šiestich CVE 20. októbra 2026, ich popisy a termíny nápravy.
- Plex Forum – Plex potvrdzuje reťazenie štyroch chýb na neautentifikované RCE, aktívne zneužívanie a opravu vo verzii 1.43.3.10861.
- Siemens ProductCERT – Siemens opisuje CVE-2026-110936, dotknuté verzie pred 4.0.9.8 a dostupnú aktualizáciu.
- The Hacker News – Koroboruje, že CISA oznámila zaradenie štyroch chýb Plexu spolu s chybami Siemens a SiteGuard do KEV.
Overené a aktualizované: 21. 10. 2026 15:33
