Plexの脆弱性4件が悪用対象に―連鎖攻撃で認証なしにコード実行

米CISAは2026年10月20日、Plex Media Serverの脆弱性4件を、実際の悪用が確認された脆弱性の一覧「KEV」に追加しました。公表は米国東部時間で、日本時間では21日です。4件を組み合わせる「Plex2Shell」により、認証なしの攻撃者がサーバー上でコードを実行できます。

Plexが19日に更新した告知では、サーバーに内部向けの通信を送らせる問題などをつなぎ、管理用トークンの取得と動画変換設定を通じたファイル書き込みに到達すると説明しています。実行権限はPlex Media Serverのプロセスと同じで、OSの管理者権限を必ず得るという意味ではありません。

同社は、未更新の公開サーバーで暗号資産の採掘プログラムや、第三者の通信を中継するプロキシの実行を確認しています。対象は1.43.3.10861より前で、この版以降は影響を受けません。「1.43.3」まででは判定できず、末尾のビルド番号まで確認が必要です。

同社は更新に加え、不審なプロセスやCodecsフォルダーのファイルを確認するよう求めています。侵害を否定できなければ、クリーンな環境からの再構築、全端末のサインアウト、パスワード変更を案内しています。修正版への更新だけで、既に置かれた不正プログラムがなくなるとは限りません。