Plex Media Server: Server-side Request Forgery im Transcode-Endpunkt

Zusammenfassung

Plex Media Server vor 1.43.3.10861 erlaubt einem authentifizierten Benutzer, über den Pfadparameter des Endpunkts /video/:/transcode/universal beliebige interne oder externe Adressen durch den Server abrufen zu lassen. Ein Angreifer kann den Server dadurch nutzen, um interne Dienste zu erkunden und auf Ressourcen zuzugreifen, die der Server erreichen kann. CISA führt die Schwachstelle als aktiv ausgenutzt, und öffentliche Recherchen beschreiben sie als Teil einer Kette mit weiteren Plex-Schwachstellen.

Betroffen

• Plex Media Server vor 1.43.3.10861
• Plex Media Server 1.43.3.10861 und neuer sind nicht betroffen

Behoben in

• Plex Media Server 1.43.3.10861
• Plex Desktop: Eine korrigierte Version wird nur in Sekundärquellen genannt und ist nicht durch den Hersteller bestätigt

Umgehung

Unbekannt. In den geprüften Quellen ist keine Workaround-Massnahme des Herstellers dokumentiert. Das Entfernen der Internet-Exposition und die Einschränkung des ausgehenden Datenverkehrs vom Server reduzieren das Risiko bis zum Update.

Ausnutzung

• CISA führt CVE-2026-96655 im Katalog der bekanntermassen ausgenutzten Schwachstellen (hinzugefügt am 2026-10-20).
• CISA-SSVC-Bewertung: Ausnutzung aktiv, nicht automatisierbar, partielle technische Auswirkung.
• Öffentliche Recherchen dokumentieren eine Kette mit weiteren Plex-Schwachstellen; weitere Details sind hier nicht verifiziert.

Unsere Empfehlung

• Alle Plex-Media-Server-Installationen und deren Versionen inventarisieren, einschliesslich Docker- und NAS-Installationen.
• Auf Plex Media Server 1.43.3.10861 oder neuer aktualisieren; bei Docker ein neu erstelltes Image beziehen, statt sich auf einen unveränderten Tag zu verlassen.
• Portweiterleitung und Remote Access aus dem Internet entfernen oder den Server hinter ein VPN oder einen authentifizierten Proxy stellen.
• Ausgehende Verbindungen vom Server einschränken, insbesondere zu internen Netzen und Cloud-Metadaten-Adressen, und den Server ausserhalb des allgemeinen Büronetzes platzieren.
• Bestehende Konten prüfen und nicht benötigte Shared- oder Ex-Mitarbeiter-Konten entfernen.
• Für Server, die vor dem Patch aus dem Internet erreichbar waren, auf Anzeichen einer Kompromittierung prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-96655 www.cve.org
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• Plex Forum: Plex Media Server release announcement forums.plex.tv
• CISA CSAF advisory VA-26-266-01 raw.githubusercontent.com
• GitHub Advisory GHSA-9x88-w2p7-56vh github.com
• The Hacker News: CISA orders federal agencies to patch thehackernews.com
• Plex2shell research by zmain.info zmain.info
• plex2shell chain documentation (GitHub wiki) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:47.