Plex Media Server: Server-Side Request Forgery (SSRF) im Endpunkt /player/timeline

Zusammenfassung

Plex Media Server vor 1.43.3.10861 enthält eine Server-Side Request Forgery im Endpunkt /player/timeline. Jeder Client, der einen beliebigen X-Plex-Token-Wert übermittelt, kann im Parameter protocol eine vollständige URL angeben und den Server veranlassen, eine POST-Anfrage an ein Ziel seiner Wahl zu senden. Die Schwachstelle ist der erste Schritt einer Exploit-Kette, die zur Codeausführung führt; sie wird aktiv ausgenutzt und ist im CISA-KEV-Katalog aufgeführt. Am stärksten gefährdet sind Server, die aus dem Internet erreichbar sind.

Betroffen

• Plex Media Server vor 1.43.3.10861

Behoben in

• Plex Media Server 1.43.3.10861 oder neuer

Umgehung

• Für die Schwachstelle selbst ist keine vom Hersteller freigegebene Workaround-Massnahme bekannt.
• Direkte Internetexposition der Plex-Weboberfläche bis zum Patch entfernen, da für die SSRF nur die Netzwerkerreichbarkeit nötig ist.

Ausnutzung

• CISA KEV: als bekannt ausgenutzt, aufgenommen am 20. Oktober 2026.
• Für die Exploit-Kette, die diese Schwachstelle enthält, existiert öffentlich verfügbarer Proof-of-Concept-Code.
• Berichteter Missbrauch umfasst Kryptominer und Proxy-Software; die Anzahl betroffener Server ist unbekannt.

Unsere Empfehlung

• Alle Plex-Media-Server-Instanzen inventarisieren, einschliesslich NAS- und Docker-Installationen, und die Build-Nummer erfassen.
• Jede Instanz unterhalb 1.43.3.10861 auf 1.43.3.10861 oder neuer aktualisieren.
• Direkte Internetexposition des Plex-Ports bis zum Patch entfernen.
• Für internetexponierte Server, die ältere Builds betrieben haben, auf unbekannte Prozesse und verdächtige ausgehende Verbindungen prüfen, Plex-Zugangsdaten rotieren und das Plex-Konto überprüfen. Bei vermuteter Kompromittierung eine Neuinstallation in Betracht ziehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (7 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  gmh5225/plex2shell · code-zm/plex2shell · ChrisLPJones/plex2shell-check · w116tjb/plex2shell-windows-hunt · basesixtythree/B63-POC-CVE-2026-96652

Quellen der Recherche

• CVE Record CVE-2026-96652 www.cve.org
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA CSAF Vulnerability Advisory VA-26-266-01 raw.githubusercontent.com
• Plex security notice: Important Security Update for Plex Media Server v1.43.2 and earlier forums.plex.tv
• Write-up by Zach Main (plex2shell) zmain.info
• ZeroHunt: Plex Media Server CVE-2026-96652 SSRF to RCE chain zerohunt.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:48.