Agencja Cybersecurity and Infrastructure Security Agency wydała ostrzeżenie dotyczące czterech luk w Plex Media Server, które są aktywnie wykorzystywane w atakach oznaczanych jako Plex2Shell. Połączenie tych podatności w jeden łańcuch pozwala napastnikom na zdobycie tokena administratora oraz wykonanie kodu z podwyższonymi uprawnieniami. Odkrycia dokonał badacz bezpieczeństwa Zach Main, który zgłosił problem producentowi, a następnie opublikował szczegóły techniczne oraz kod proof-of-concept. Pierwsze incydenty wykryte na serwerach pułapkach polegały na instalowaniu oprogramowania do kopania kryptowalut. Problem dotyczy wersji oprogramowania starszych niż 1.43.3.10861.

Szczegóły podatności wchodzących w skład Plex2Shell

Łańcuch wykorzystuje cztery odrębne słabe punkty o różnym stopniu skali zagrożenia, które łącznie osiągnęły krytyczny wynik 9,8:

CVE-2026-96652 to luka typu SSRF w ścieżce /player/timeline, która pozwala nieuwierzytelnionym napastnikom wymuszać wysyłanie żądań POST do wewnętrznych interfejsów API.
CVE-2026-96654 umożliwia wstrzykiwanie adresów URL w funkcji searchOne, co prowadzi do wywoływania funkcji innych wtyczek z parametrami kontrolowanymi przez atakującego.
CVE-2026-96655 stanowi uwierzytelnioną lukę SSRF w punkcie końcowym transkodera, pozwalającą na generowanie żądań do dowolnych adresów wewnętrznych lub zewnętrznych.
CVE-2026-96656 to podatność polegająca na zapisie pliku w ustawieniach transkodera, co pozwala na wgrywanie złośliwych bibliotek ładowanych przez serwer.

Podobne zagrożenia w Siemens Software Center i SiteGuard

Agencja CISA dodała do katalogu znanych podatności wykorzystywanych w atakach kolejne pozycje. Jedną z nich jest luka polegająca na niekontrolowanym elemencie ścieżki wyszukiwania w Siemens Software Center, oznaczona jako CVE-2026-110936. Niemiecki producent poinformował, że podatność ta jest wykorzystywana w kampaniach powiązanych z platformą dostarczania złośliwego oprogramowania Romulus. Administratorzy powinni zaktualizować oprogramowanie do wersji 4.0.9.8 lub nowszej. Kolejnym zagrożeniem jest luka w SiteGuard Server Edition oznaczona jako CVE-2026-106931, która dotyczy wstrzykiwania poleceń systemu operacyjnego w aplikacji zapory aplikacji webowej. W tym przypadku konieczna jest aktualizacja do wersji 8.00 Update 5 lub 7.00 Update 6 w zależności od stosowanego środowiska.