Plex Media Server, השרת שאנשים מריצים בבית כדי להזרים את אוסף הסרטים והסדרות שלהם לטלוויזיה ולטלפון, מכיל חולשה שמאפשרת למי שיש לו הרשאות מנהל על השרת לכתוב לדיסק קובץ שהשרת עצמו יריץ. הציון הוא 8.6 מתוך 10. ב-20 באוקטובר 2026 נוספה החולשה לרשימת החולשות שתוקפים מנצלים בשטח, והגרסה שמתקנת אותה היא 1.43.3.10861.
מה החולשה?
כשאתם מפעילים סרט על מכשיר שאינו יודע לנגן את הפורמט המקורי, השרת ממיר אותו תוך כדי הנגינה. את ההמרה עושה מקודד וידאו, ול-Plex יש שדה הגדרות שמחזיק אפשרויות נוספות להעביר אליו, בשם TranscoderH264Options. לפי הרשומה במאגר NVD, מה שיושב בשדה הזה נדבק כמו שהוא לשורת האפשרויות של המקודד x264 בכל המרה, בלי שמשהו באמצע בודק אותו.
החצי השני של התמונה נמצא ברגע העלייה של השרת. הרשומה אומרת שבאתחול נטענים כל קובצי ה-.so שנמצאים, ספריות קוד שתוכנה טוענת לתוך עצמה בזמן ריצה, וזה נעשה בלי בדיקת חתימה, בלי בדיקה שהקובץ מסומן בכלל כניתן להרצה ובלי בדיקת הסמלים שבתוכו.
חברו את השניים ותקבלו את החולשה: מנהל יכול לגרום לכתיבת קובץ לבחירתו, והטוען שעולה אחריו ירים אותו בלי לשאול שאלות. זה אינו באג בזיכרון ואינו טעות חישוב. זאת אמינות שהוענקה למקום הלא נכון, שדה הגדרות שאמור להגדיר את השרת ובפועל מצליח למסור לו קוד.
הציון, 8.6, נעצר מתחת ל-9 בגלל תנאי אחד: הרשומה דורשת שלתוקף יהיו מראש הרשאות מנהל. מי שהגיע לשם, לעומת זאת, יוצא עם פגיעה גבוהה בסודיות, בשלמות ובזמינות.
מי מושפע?
כל מי שמריץ גרסה שקדמה לתיקון. בישראל Plex אינו בכל בית, אבל הוא נפוץ מאוד אצל מי שמחזיק NAS או מחשב ותיק שמשמש שרת מדיה, וזאת אוכלוסייה לא קטנה.
דרישת ההרשאות מצמצמת את התמונה בצורה אמיתית. תוקף מהרחוב אינו מגיע לכאן בצעד אחד, וזה אינו תרחיש שבו מישהו מנגן סרט ונדבק. מה שכן, הדרישה הזאת הופכת את חשבון המנהל של השרת לנקודה שכדאי להגן עליה: מי שמשתלט עליו אינו מקבל רק את ספריית הסרטים אלא גם דרך להריץ קוד על המכונה שמתחת.
שווה לקרוא את הדרישה הזאת בלי להירגע ממנה יותר מדי. בגרסאות שקדמו לתיקון נמצאו באותו מוצר גם חולשות שדורשות פחות, והן מופיעות בבלוק החולשות הקשורות שבתחתית העמוד.
האם מנוצלת בפועל?
כן. החולשה רשומה בקטלוג ה-KEV, הרשימה שסוכנות הסייבר האמריקאית CISA מנהלת לחולשות שנראו מנוצלות בשטח, והיא נוספה אליה ב-20 באוקטובר 2026. תאריך היעד לתיקון שהקטלוג מצמיד לגופים הפדרליים האמריקאיים הוא 23 באוקטובר 2026, שלושה ימים בלבד.
הקטלוג אינו מפרסם איך נראה הניצול, נגד מי הוא כוון ובאיזה היקף.
יש כאן שאלה פתוחה שכדאי להחזיק בראש. אם הניצול מחייב הרשאות מנהל, איך התוקפים השיגו אותן. הקטלוג אינו עונה על זה, וזאת בדיוק הסיבה לטפל בעדכון ובחשבון המנהל יחד ולא רק באחד מהם.
מה עושים?
בדקו איזו גרסה רצה אצלכם. השרת מציג את מספר הגרסה בעמוד ההגדרות שלו, ואת ההודעה על הגרסה המתוקנת מפרסם Plex בשרשור הגרסאות בפורום הרשמי.
שימו לב לפרט אחד ברשומה. התיאור במאגר NVD נוקב ב-1.43.3.10861 כגרסה שמתקנת, ושדה הגרסאות המושפעות באותה רשומה עצמה מציין כל מה שמתחת ל-1.43.0.10861. הקריאה הבטוחה היא להיות ב-1.43.3.10861 או מעליה.
אחרי העדכון הפעילו את השרת מחדש. טעינת הספריות שמתוארת ברשומה קורית בעליית השרת, כך שתהליך שממשיך לרוץ מלפני העדכון עדיין מחזיק את המצב הקודם.
במקביל, עברו על מי שמחזיק הרשאות מנהל על השרת. הסירו חשבונות שנשארו שם ממישהו שכבר אינו צריך אותם, והחליפו את הסיסמה אם היא ותיקה או משמשת אתכם גם במקומות אחרים. זאת ההגנה שעומדת בין החולשה הזאת לבין מי שינסה להשתמש בה.