חולשה ב-Plex Media Server מאפשרת למשתמש שמחובר לשרת לגרום לו לפנות לכתובות שהמשתמש בוחר, בתוך הרשת או מחוצה לה. הציון הוא 5.3 מתוך 10. ב-20 באוקטובר 2026 נוספה החולשה לרשימת החולשות שנוצלו בשטח, והתיקון נמצא בגרסה 1.43.3.10861.
מה החולשה?
בין הכתובות שהשרת מטפל בהן יש אחת שמופקדת על המרת הווידאו לצורך נגינה, /video/:/transcode/universal . חלק מהכתובת הזאת מחזיק בעצמו כתובת שהשרת הולך ומביא. לפי הרשומה במאגר NVD, משתמש מחובר יכול לשתול שם כל כתובת שירצה, פנימית או חיצונית, והשרת יפנה אליה.
הנקודה אינה בכתובת אלא במי שפונה. הבקשה יוצאת מהשרת ולא מהמשתמש, והשרת יושב בתוך הרשת הביתית או המשרדית. משם הוא מגיע למקומות שאדם מבחוץ אינו מגיע אליהם: ממשק הניהול של הנתב, אחסון רשתי, מצלמה, שירות פנימי שאין לו סיסמה כי ממילא אפשר להגיע אליו רק מבפנים. לדפוס הזה קוראים SSRF, server side request forgery.
נסו לחשוב על זה כך. אתם אינכם יכולים לעבור את השער, אבל אתם יכולים לבקש ממי שכבר בפנים שייגש ויבדוק אם דלת מסוימת פתוחה, ויספר לכם מה ראה.
הציון מספר את הגבולות של החולשה. היא דורשת משתמש מחובר, ההשפעה מסומנת כנמוכה בסודיות ואפסית בשלמות ובזמינות. אין כאן הרצת קוד ואין השתלטות. מה שיש כאן הוא טווח הגעה ומידע.
מי מושפע?
כל מי שמריץ גרסה שקדמה לתיקון. השאלה המעניינת יותר היא מי נחשב כאן למשתמש מחובר.
ספריות של Plex עוברות שיתוף. בני משפחה, חברים, לפעמים חבר של חבר שביקש וקיבל גישה. כל מי שיש לו חשבון על השרת נמצא בקבוצה שהחולשה הזאת מדברת עליה, וההנחה השקטה שמי ששיתפתם איתו יכול רק לצפות בסרטים היא בדיוק ההנחה שהיא שוברת.
הצד השני הוא מקומו של השרת. אצל רוב האנשים הוא יושב על הרשת הביתית לצד הנתב, האחסון הרשתי והמכשירים המחוברים, ובארגון קטן על אותה רשת שמחזיקה מערכות פנימיות. מיקום הרשת הזה הוא הנכס שהחולשה מציעה לתוקף, לא תוכן הספרייה.
האם מנוצלת בפועל?
כן. ב-20 באוקטובר 2026 נכנסה החולשה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, שבו היא מרכזת חולשות שראו אותן מנוצלות אצל מישהו. תאריך היעד לתיקון שנקבע בו לגופים הפדרליים האמריקאיים הוא 3 בנובמבר 2026, שבועיים אחרי ההכנסה.
מה שהרשומה אינה מספרת הוא באיזה הקשר נעשה הניצול. חולשות מהסוג הזה הן לרוב שלב ולא יעד: הן משמשות כדי לראות מה עוד נמצא ברשת ומה מגיב, לפני שמנסים משהו ממשי יותר נגד מה שנמצא שם.
מה עושים?
עדכנו ל-1.43.3.10861 או מעליה. הגרסה שרצה אצלכם מופיעה בעמוד ההגדרות של השרת, וההודעות על גרסאות חדשות מתפרסמות בשרשור הרשמי בפורום של Plex.
עברו על רשימת מי שיש לו גישה לשרת. החולשה מחייבת חשבון, ולכן כל שיתוף שאינכם צריכים יותר הוא מיותר גם מבחינת אבטחה. הסירו את מה שנשאר מפעם.
בדקו את הסביבה שהשרת יכול להגיע אליה. אם לנתב, לאחסון הרשתי או למכשיר אחר בבית יש עדיין סיסמת ברירת מחדל או ממשק ניהול בלי סיסמה, זה הזמן לשנות את זה. ההגנה של מכשיר כזה מתבססת על ההנחה שרק מי שבפנים מגיע אליו, והחולשה הזאת מראה למה ההנחה הזאת אינה מספיקה בפני עצמה.
למי שמנהל מערכות, 3 בנובמבר 2026 הוא תאריך היעד שהקטלוג האמריקאי קבע, והוא אמת מידה סבירה גם למי שאינו מחויב לו.