מחקר שפורסם ב-16 באוקטובר 2026 משרשר ארבע חולשות ב-Plex Media Server, שרת המדיה הביתי, להרצת קוד בלי פרטי אימות. למחרת מלכודת דבש של חוקר אחר תפסה ניצול בשטח, והמטען היה כורה מטבעות. אף אחת מהארבע אינה בציון קריטי.

סקירה כללית

Plex מאזין בפורט 32400, והרבה מהשרתים האלה פתוחים לאינטרנט כדי להגיע לספרייה מחוץ לבית. בקשה שמגיעה לשרת מהמכונה עצמה, מ-127.0.0.1 שנקראת loopback, נחשבת אצלו אמינה כל כך שה-API של התוספים נפתח לה בלי token בכלל.

את ארבע הרשומות הקצתה ודירגה CISA עצמה בתפקיד ה-CNA, ובניתוח שלה מ-14 בספטמבר היא סימנה את CVE-2026-96656 כ"ניצול: אין". חמישה שבועות אחר כך היא הוסיפה את ארבעתן ל-KEV. מה שהתוקפים מפילים עד כה הוא כורה מטבעות, ואחריו תוכנה שמשכירה את חיבור האינטרנט של הקורבן, מה שנקרא proxyware.

מזהים: CVE-2026-96652, CVE-2026-96654, CVE-2026-96655, CVE-2026-96656
סוג: SSRF בשתיים (CWE-918), קריאה לפונקציות של תוספים (CWE-84), שליטה על נתיב כתיבה (CWE-73)
מוצר: Plex Media Server
גרסאות מושפעות: כל מה שלפני 1.43.3.10861
גרסה מתוקנת: 1.43.3.10861
ניצול בפועל: כן, ארבעתן ב-KEV מ-20 באוקטובר

ציר זמן

27 ביולי 2026: זאק מיין מדווח ל-Plex. לפי BleepingComputer התיקון יוצא ב-4 באוגוסט, והודעת האבטחה, בלי פירוט ובלי מזהי CVE, ב-1 בספטמבר.
16 באוקטובר 2026: המחקר מתפרסם, ואיתו קוד ניצול ציבורי.
17 באוקטובר 2026: מלכודת דבש רושמת ניצול משלוש כתובות IP.
20 באוקטובר 2026: ארבעתן נכנסות ל-KEV, לשתיים עם יעד תיקון ב-23 באוקטובר.

איך הניצול עובד

הצעד הראשון הוא /player/timeline, ה-endpoint של השלט הרחוק. השער שלו בודק שכותרת ה-token קיימת ולא מה כתוב בה, ופרמטר שאמור להחזיק שם של פרוטוקול נתחב לכתובת שהשרת יפנה אליה. מי שרושם שם כתובת מלאה גורם לשרת לשלוח בקשה לעצמו, והיא נוחתת כאילו באה מ-loopback. לסוג החולשה הזה קוראים SSRF.

כך נפתח ה-API של התוספים, שהבדיקה שאמורה לסנן מזהה לא מוכר נכתבה בפונקציה פנימית שערך ההחזרה שלה נזרק. התוקף מכוון את הקריאה לפונקציה שמביאה תוכן מכתובת, ונותן לה שם מתחם שמתחיל ב-127.0.0.1 ונפתר ב-DNS לשרת שלו. Plex משווה את תחילת המחרוזת בלבד, מצמיד את ה-token של הבעלים, ושולח אותו לתוקף.

עם ההרשאות האלה נשארו שני צעדים. שדה הגדרות שנדבק לאפשרויות של מקודד הווידאו x264 מדליק אפשרות דיבאג שכותבת את הפריימים לנתיב לבחירתו, ובהמרה בלי אובדן הם עותק מדויק של הקלט. כך סרט שהתוקף מאחסן נכתב אצל הקורבן כקובץ .so שנטען בזמן ריצה, וההמרה הבאה טוענת אותו בלי בדיקת חתימה.

ניתוח ציון ה-CVSS

ציון CVSS: 8.6

זה הציון של CVE-2026-96656, הגבוהה בארבע, שנעצרת מתחת ל-9 כי הרשומה דורשת הרשאות מנהל. שלוש האחרות מספקות לו אותן, ומיין דירג את השרשרת כולה 9.8.

איפה למצוא Proof of Concept (PoC)

Plex2Shell, המחקר של זאק מיין, הוא הפירוט הטכני של חמשת השלבים, ואיתו קוד ניצול ציבורי. בדיווח של BoredHackerBlog יש קובצי pcap, כתובות IP ו-hash-ים לצד המגננה.

יעד התיקון שה-KEV נותן לשתיים מהארבע הוא 23 באוקטובר, ושרת מתחת ל-1.43.3.10861 עם פורט 32400 פתוח נסרק מאז ה-17 בחודש.