Plex Media Server: URL-Injection erlaubt Aufruf fremder Plugin-Funktionen

Zusammenfassung

Plex Media Server vor 1.43.3.10861 neutralisiert URL-Werte in der Verarbeitung von 'searchOne' nicht korrekt. Ein Angreifer kann Funktionen anderer Plugins aufrufen und eigene Parameter übergeben. Diese CVE ist eine von vier Schwachstellen der 'Plex2Shell'-Kette, in der sie als Loopback-Pivot dient, und CISA führt sie als bekanntermassen ausgenutzt. Hauptproblem sind aus dem Internet erreichbare Server.

Betroffen

• Plex Media Server vor 1.43.3.10861

Behoben in

• Plex Media Server 1.43.3.10861 und neuer (Korrektur des Herstellers)

Umgehung

• Es ist keine offizielle Workaround-Massnahme bekannt. Auf 1.43.3.10861 oder neuer aktualisieren.
• Die direkte Erreichbarkeit des Servers aus dem Internet einschränken (zum Beispiel hinter einem VPN), bis er gepatcht und geprüft ist.

Ausnutzung

• CISA führt die CVE als bekanntermassen ausgenutzt (hinzugefügt am 20. Oktober 2026).
• Plex gibt an, dass Angreifer nicht aktualisierte, aus dem Internet erreichbare Server kompromittieren.
• Für die Kette existiert ein öffentlicher Proof of Concept. Ihr Einstiegspunkt ist CVE-2026-96652, eine SSRF ohne Authentifizierung; diese CVE wird als Kettenglied und nicht als eigenständiger Einstiegspunkt ausgenutzt.
• Berichtete Missbrauchsfälle umfassen Kryptowährungs-Miner und Proxy-Software.

Unsere Empfehlung

• Plex Media Server jetzt auf 1.43.3.10861 oder neuer aktualisieren.
• Aus dem Internet erreichbare Server auf Kompromittierung prüfen, namentlich auf unbekannte Prozesse, unbekannte Dateien im Plex-Codecs-Ordner und unerwartete Transcoder-Optionen.
• Den Internetzugriff auf den Server einschränken, bis er gepatcht und geprüft ist.
• Alle vier CVEs der Plex2Shell-Kette patchen, nicht nur diese.
• Den Server auf ungewöhnliche ausgehende Verbindungen und Prozesse überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-96654 www.cve.org
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• CISA alert: known exploited vulnerabilities added, 20 October 2026 www.cisa.gov
• CISA CSAF advisory VA-26-266-01 raw.githubusercontent.com
• Plex Forum: Important Security Update for Plex Media Server v1.43.2 and earlier forums.plex.tv
• BetaNews: Plex exploitation active betanews.com
• Researcher repository plex2shell github.com
• Researcher write-up zmain.info zmain.info

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:46.