米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、Plex Media Serverの4件の脆弱性が悪用されているとして警告しました。
これらのセキュリティ上の問題は「Plex2Shell」と総称されています。攻撃者がこれらを連鎖させてエクスプロイトを組み立てると、所有者の管理者トークンを入手し、昇格した権限でコードを実行できます。
Plex Media Serverは、映画、テレビ番組、音楽、写真といった個人のコレクションを整理し、自宅内や、インターネット経由で外出先から他のデバイスにストリーミングできる人気のメディアスイートです。
CISAは連邦機関に対し、Plex2Shellの脆弱性の影響を受けるシステムへのパッチ適用を優先するか、10月23日までに緩和策を講じるよう命じました。
これらの問題を発見したのはセキュリティ研究者のZach Main氏で、7月27日にPlexへ責任ある形で報告しました。
個々の脆弱性の深刻度は中程度から高程度とされていますが、同氏はエクスプロイトチェーン全体に、緊急を意味する9.8のスコアを付けています。
- CVE-2026-96652 – /player/timelineにおけるSSRFの脆弱性。認証不要の攻撃者がPlexに対し、内部APIを含む任意の宛先へPOSTリクエストを送らせることが可能
- CVE-2026-96654 – searchOneにおけるURLインジェクションの脆弱性。攻撃者が制御するパラメータで、他のプラグインの関数を呼び出すことが可能
- CVE-2026-96655 – トランスコーダーのエンドポイントにおける、認証が必要なSSRFの脆弱性。ユーザーがPlexに任意の内部または外部アドレスへリクエストを送らせることが可能
- CVE-2026-96656 – トランスコーダー設定における任意ファイル書き込みの脆弱性。管理者が悪意のある共有ライブラリを配置でき、Plexがそれを読み込むとコード実行につながる
Zach Main氏は10月16日、Plex2Shellの脆弱性に関する技術的な詳細をすべて公開しました。3日後には、概念実証（PoC）のエクスプロイトも公開しています。
10月17日には、Plex2Shellが実環境で悪用されているとの報告が出始めました。当初はPlexのハニーポットが標的にされ、暗号資産マイナーが仕込まれていました。
Plex2Shellの影響を受けるのは、8月4日にリリースされたPlex Media Server 1.43.3.10861より前のバージョンです。
攻撃者はSiemens Software Centerも標的に
CISAはPlex2Shellに加え、Siemens Software Center（SSC）の信頼できない検索パスの要素に関する脆弱性「CVE-2026-110936」を、悪用が確認された脆弱性カタログ（KEV）に追加しました。
ドイツのテクノロジー大手であるSiemensは10月19日に警告を発し、攻撃者がこの脆弱性を、複数のペイロードを配信するClickFixプラットフォーム「Romulus」に関連する攻撃キャンペーンで悪用していると明らかにしました。
オペレーショナルテクノロジー（OT）セキュリティ企業のForescoutによる最近の調査は、Romulusについて「非公開で運用されているパネルなのか、商用のサイバー犯罪向け配信サービスなのか、アフィリエイト型のフレームワークなのか、あるいは運用者間でコピーされたソフトウェアなのかもしれない」と指摘しています。
SiemensによるCVE-2026-110936に関する警告には、侵害指標（IoC）と、侵害されたシステムを見分けるための助言が掲載されています。同社は管理者に対し、Siemens Software Centerをバージョン4.0.9.8以降へ更新するよう促しています。
CISAはさらに、WAF（Webアプリケーションファイアウォール）製品「SiteGuard Server Edition」に影響するOSコマンドインジェクションの脆弱性「CVE-2026-106931」もKEVに追加しました。
ベンダーと日本のCERTは、先週末にかけてCVE-2026-106931が悪用されていると指摘しました。
ベンダーはユーザーに対し、Apache httpd、Nginx、IIS向けのSiteGuard Server Editionはバージョン8.00 Update 5へ、FreeBSD上のApache httpdおよびNginx向けのSiteGuard Server Editionはバージョン7.00 Update 6以降へアップグレードするよう呼びかけています。
